|
|
URL dieser Newsmeldung:
19.01.2006
About Security #40: HTTP-Proxy-Logfiles manuell auswerten, 1Nach der manuellen Auswertung der Paketfilter-Logfiles (siehe About Security #39) geht es nun um die Auswertung der HTTP-Proxy-Logfiles. Der Umfang der Protokollierung durch den HTTP-Proxy wurde in About Security #37 beschrieben. Die Einträge in das Logfile könnten dann zum Beispiel nach dem folgenden Muster aufgebaut werden:
N E U ! Security
aktuell Zur besseren Lesbarkeit wurde die Zeile, so wie zum Teil auch die weiteren Beispiele, auf mehrere Zeilen verteilt. Im Logfile werden die Daten in der Regel jeweils in einer Zeile ausgegeben. Eine nicht umbrochene Version der folgenden beiden Beispiele gibt es hier. Eine mögliche Zeile des Logfiles wäre zum Beispiel
Zuerst soll nur der URL betrachtet werden. Das fiktive Logfile enthält die folgenden URL-Einträge: Was bedeuten diese Einträge?Zeile 1 stellt einen normalen Aufruf der Startseite /index.html dar. In Zeile 2 meldet sich der Benutzer foo mit seinem Passwort bar bei der Webanwendung Webanwendung1 an. Er hat als Sprache deutsch gewählt. Auch dieser Eintrag ist eine normale Aktion. In Zeile 3 versucht ein Angreifer, eine SQL-Injection-Schwachstelle in der Webanwendung Webanwendung2 auszunutzen, um die Authentifizierung zu umgehen. Das übergebene URL-kodierte Passwort entspricht dekodiert und soll dazu führen, dass eine SQL-Abfrage mit dem Passwort TRUE liefert (siehe About Security #11).  In Zeile 4 versucht ein Angreifer, über eine Directory-Traversal-Schwachstelle die Datei .htpasswd einzubinden und dadurch anzeigen zu lassen (siehe About Security #16).
In Zeile 5 wird eine sehr lange Zeichenkette für den Parameter
Zeile 6 zeigt einen Angriff des Wurms Code Red, siehe About Security #27.
In Zeile 7 findet ein Cross-Site-Scripting-Angriff statt. Der für den
Parameter entspricht dekodiert und sendet den Cookie des betroffenen Benutzers an den Server des Angreifers (boeser-server.example) (About Security #14). Die Anfrage stammt von einem Benutzer, dem der manipulierte Link untergeschoben wurde. In Zeile 8 findet ein Angriff durch den Nimda-Wurm statt, siehe About Security #27. In Zeile 9 und 10 wird eine Testversion der Startseite beziehungsweise der Webanwendung1 aufgerufen. Ob dies zulässige Aktionen oder Angriffsversuche sind (siehe About Security #27), ist aus diesem Logfile nicht ersichtlich. Zeile 11 zeigt den normalen Aufruf eines Redirection-Skripts, um als Sprache Englisch zu wählen. In Zeile 12 wird dasselbe Skript für einen HTTP-Response-Splitting-Angriff (About Security #21) genutzt. (Erfolgreicher) Angriff oder nicht?Ob es sich um einen Angriff handelt oder nicht und ob ein eventueller Angriff erfolgreich war, lässt sich allein aus dem URL nicht erkennen. Dafür sind weitere Informationen erforderlich, die in der nächsten Folge behandelt werden. Wenn Sie Fragen oder Themenvorschläge haben, können Sie diese gerne an die angegebene E-Mail-Adresse senden oder im Security-Forum einbringen! About Security – Übersicht zum aktuellen Thema "Logfiles"
|
|||||||||||||||||||||||||||||||||
|
