PhpMyadmin bruteforce प्रयासों के लिए कस्टम फेल्ट 2 बटन फ़िल्टर

9

मेरी असफलता के phpMyAdminसाथ अत्यधिक असफल लॉगिन प्रयासों को रोकने की खोज में fail2ban, मैंने एक स्क्रिप्ट बनाई है जिसमें लॉग ने कहा कि फ़ाइल में विफल प्रयास:/var/log/phpmyadmin_auth.log

कस्टम लॉग

/var/log/phpmyadmin_auth.logफ़ाइल का प्रारूप है:

phpMyadmin login failed with username: root; ip: 192.168.1.50; url: http://somedomain.com/phpmyadmin/index.php
phpMyadmin login failed with username: ; ip: 192.168.1.50; url: http://192.168.1.48/phpmyadmin/index.php

कस्टम फ़िल्टर

[Definition]

# Count all bans in the logfile
failregex = phpMyadmin login failed with username: .*; ip: <HOST>;

phpMyAdmin जेल

[phpmyadmin]

enabled  = true
port    = http,https
filter   = phpmyadmin
action   = sendmail-whois[name=HTTP]
logpath  = /var/log/phpmyadmin_auth.log
maxretry = 6

fail2banलॉग शामिल हैं:

2012-10-04 10:52:22,756 fail2ban.server : INFO   Stopping all jails
2012-10-04 10:52:23,091 fail2ban.jail   : INFO   Jail 'ssh-iptables' stopped
2012-10-04 10:52:23,866 fail2ban.jail   : INFO   Jail 'fail2ban' stopped
2012-10-04 10:52:23,994 fail2ban.jail   : INFO   Jail 'ssh' stopped
2012-10-04 10:52:23,994 fail2ban.server : INFO   Exiting Fail2ban
2012-10-04 10:52:24,253 fail2ban.server : INFO   Changed logging target to /var/log/fail2ban.log for Fail2ban v0.8.6
2012-10-04 10:52:24,253 fail2ban.jail   : INFO   Creating new jail 'ssh'
2012-10-04 10:52:24,253 fail2ban.jail   : INFO   Jail 'ssh' uses poller
2012-10-04 10:52:24,260 fail2ban.filter : INFO   Added logfile = /var/log/auth.log
2012-10-04 10:52:24,260 fail2ban.filter : INFO   Set maxRetry = 6
2012-10-04 10:52:24,261 fail2ban.filter : INFO   Set findtime = 600
2012-10-04 10:52:24,261 fail2ban.actions: INFO   Set banTime = 600
2012-10-04 10:52:24,279 fail2ban.jail   : INFO   Creating new jail 'ssh-iptables'
2012-10-04 10:52:24,279 fail2ban.jail   : INFO   Jail 'ssh-iptables' uses poller
2012-10-04 10:52:24,279 fail2ban.filter : INFO   Added logfile = /var/log/auth.log
2012-10-04 10:52:24,280 fail2ban.filter : INFO   Set maxRetry = 5
2012-10-04 10:52:24,280 fail2ban.filter : INFO   Set findtime = 600
2012-10-04 10:52:24,280 fail2ban.actions: INFO   Set banTime = 600
2012-10-04 10:52:24,287 fail2ban.jail   : INFO   Creating new jail 'fail2ban'
2012-10-04 10:52:24,287 fail2ban.jail   : INFO   Jail 'fail2ban' uses poller
2012-10-04 10:52:24,287 fail2ban.filter : INFO   Added logfile = /var/log/fail2ban.log
2012-10-04 10:52:24,287 fail2ban.filter : INFO   Set maxRetry = 3
2012-10-04 10:52:24,288 fail2ban.filter : INFO   Set findtime = 604800
2012-10-04 10:52:24,288 fail2ban.actions: INFO   Set banTime = 604800
2012-10-04 10:52:24,292 fail2ban.jail   : INFO   Jail 'ssh' started
2012-10-04 10:52:24,293 fail2ban.jail   : INFO   Jail 'ssh-iptables' started
2012-10-04 10:52:24,297 fail2ban.jail   : INFO   Jail 'fail2ban' started

जब मैं जारी करता हूं:

sudo service fail2ban restart

fail2banमुझे कहने के लिए ईमेल sshफिर से शुरू हो गए हैं, लेकिन मुझे अपने phpmyadminजेल के बारे में ऐसा कोई ईमेल नहीं मिला है । बार-बार विफल लॉगिन phpMyAdminईमेल भेजने का कारण नहीं बनता है।

क्या मैंने कुछ महत्वपूर्ण सेटअप को याद किया है? क्या मेरे फ़िल्टर की नियमित अभिव्यक्ति गलत है?

अद्यतन: डिफ़ॉल्ट स्थापना से जोड़ा गया परिवर्तन

एक साफ fail2banस्थापना के साथ शुरू :

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

अपना खुद का ईमेल पता बदलें, कार्रवाई करने के लिए:

action = %(action_mwl)s

निम्नलिखित को संलग्न करें jail.local

[phpmyadmin]

enabled  = true
port     = http,https
filter   = phpmyadmin
action   = sendmail-whois[name=HTTP]
logpath  = /var/log/phpmyadmin_auth.log
maxretry = 4

करने के लिए निम्नलिखित जोड़ें /etc/fail2ban/filter.d/phpmyadmin.conf

# phpmyadmin configuration file
#
# Author: Michael Robinson
#

[Definition]

# Option:  failregex
# Notes.:  regex to match the password failures messages in the logfile. The
#          host must be matched by a group named "host". The tag "<HOST>" can
#          be used for standard IP/hostname matching and is only an alias for
#          (?:::f{4,6}:)?(?P<host>\S+)
# Values:  TEXT
#

# Count all bans in the logfile
failregex = phpMyadmin login failed with username: .*; ip: <HOST>;

# Option:  ignoreregex
# Notes.:  regex to ignore. If this regex matches, the line is ignored.
# Values:  TEXT
#

# Ignore our own bans, to keep our counts exact.
# In your config, name your jail 'fail2ban', or change this line!
ignoreregex =

पुनर्प्रारंभ करें fail2ban

sudo service fail2ban restart

पुनश्च: मुझे अंडे पसंद हैं

security  configuration  fail2ban 
— माइकल रॉबिन्सन
स्रोत
1
ऐसा लगता है कि यह कॉन्फ़िगरेशन में आपकी नई जेल को नहीं उठा रहा है। कृपया निर्दिष्ट करें कि आपने कौन सी फाइलें बदली हैं।
— मॉर्गन
@mgorven मैंने अपने प्रश्न को एक व्यापक अवलोकन के साथ अद्यतन किया है जो मैंने बदल दिया
— माइकल रॉबिन्सन
क्या आपके phpmyadmin उदाहरण के लिए ये वास्तविक लॉगिन प्रयास हैं या वे केवल phpmyadmin की तलाश में स्कैनर हैं ?
— स्कॉट पैक
मेरा मानना ​​है कि वे बाद में हैं
— माइकल रॉबिन्सन

जवाबों:

8

यह ठीक है लेकिन अपाचे कार्यक्षमता का उपयोग करने में विफल लॉगिन क्यों नहीं है?

VirtualHost सेक्शन के अनुसार इन पंक्तियों को अपने अपाचे कॉन्फिगर में जोड़ें (जैसे: /etc/apache2/conf.d/phpmyadmin.conf):

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{userID}n %{userStatus}n" pma_combined
CustomLog /var/log/apache2/phpmyadmin_access.log pma_combined

फिर फेल 2बन फिल्टर बनाएं:

/etc/fail2ban/filter.d/phpmyadmin.conf

[Definition]
denied = mysql-denied|allow-denied|root-denied|empty-denied
failregex = ^<HOST> -.*(?:%(denied)s)$
ignoreregex =

अब जेल को /etc/fail2ban/jail.local में जोड़ें

[phpmyadmin]
enabled = true
port = http,https
filter = phpmyadmin
logpath = /var/log/apache2/phpmyadmin_access.log

अपाचे को पुनः आरंभ करें और विफल करें 2:

service  apache2 reload
service fail2ban reload

और आप कर रहे हैं, php लिपियों की कोई ज़रूरत नहीं है ..

— spacebiker
स्रोत
3
कृपया सीधे संपादित न करें jail.conf, कॉपी के बजाय बनाएंjail.local
— NineCattoRules
आप सही हैं @
— सिमोने
मुझे समाधान के साथ समस्या हो रही है। कृपया देखें: serverfault.com/questions/815396/…
2

  1. लॉग फाइल में टाइमस्टैम्प को शामिल करने के लिए आपको अपनी स्क्रिप्ट बदलनी चाहिए। इसके बिना, विफलता 2ban काम नहीं करेगी

  2. fail2ban-regex /var/log/phpmyadmin_auth.log /etc/fail2ban/filter.d/phpmyadmin.confपहले अपने regex को सत्यापित करने के लिए उपयोग करें।

  3. मैं आपके मूल कॉन्फ़िगरेशन (जेल से पहले) का उपयोग करके सफलतापूर्वक विफलता 2 शुरू कर सकता हूं

    Oct  7 00:42:07 hostname yum: Installed: python-inotify-0.9.1-1.el5.noarch 
Oct  7 00:42:08 hostname yum: Installed: fail2ban-0.8.4-29.el5.noarch
Oct  7 00:42:10 hostname yum: Installed: phpMyAdmin-2.11.11.3-2.el5.noarch
Oct  7 01:01:03 hostname fail2ban.server : INFO   Changed logging target to SYSLOG for Fail2ban v0.8.4
Oct  7 01:01:03 hostname fail2ban.jail   : INFO   Creating new jail 'phpmyadmin'
Oct  7 01:01:03 hostname fail2ban.jail   : INFO   Jail 'phpmyadmin' uses Gamin
Oct  7 01:01:03 hostname fail2ban.filter : INFO   Set maxRetry = 2
Oct  7 01:01:03 hostname fail2ban.filter : INFO   Set findtime = 600
Oct  7 01:01:03 hostname fail2ban.actions: INFO   Set banTime = 600
Oct  7 01:01:03 hostname fail2ban.jail   : INFO   Creating new jail 'ssh-iptables'
Oct  7 01:01:03 hostname fail2ban.jail   : INFO   Jail 'ssh-iptables' uses Gamin
Oct  7 01:01:03 hostname fail2ban.filter : INFO   Added logfile = /var/log/secure
Oct  7 01:01:03 hostname fail2ban.filter : INFO   Set maxRetry = 5
Oct  7 01:01:03 hostname fail2ban.filter : INFO   Set findtime = 600
Oct  7 01:01:03 hostname fail2ban.actions: INFO   Set banTime = 600
Oct  7 01:01:03 hostname fail2ban.jail   : INFO   Jail 'phpmyadmin' started
Oct  7 01:01:03 hostname fail2ban.jail   : INFO   Jail 'ssh-iptables' started
Oct  7 01:10:54 hostname fail2ban.jail   : INFO   Jail 'phpmyadmin' stopped
Oct  7 01:10:55 hostname fail2ban.jail   : INFO   Jail 'ssh-iptables' stopped
Oct  7 01:10:55 hostname fail2ban.server : INFO   Exiting Fail2ban
Oct  7 01:10:56 hostname fail2ban.server : INFO   Changed logging target to SYSLOG for Fail2ban v0.8.4
Oct  7 01:10:56 hostname fail2ban.jail   : INFO   Creating new jail 'phpmyadmin'
Oct  7 01:10:56 hostname fail2ban.jail   : INFO   Jail 'phpmyadmin' uses Gamin
Oct  7 01:10:56 hostname fail2ban.filter : INFO   Added logfile = /var/log/phpmyadmin_auth.log

  4. एक बार सही रेगेक्स होने के बाद, आप ऑडिट का उपयोग यह देखने के लिए कर सकते हैं कि आपकी फ़ाइल विफल है या नहीं।

मैंनें इस्तेमाल किया auditctl -w /var/log/phpmyadmin_auth.log -p warx -k phpmyadmin_fail2ban

— नेहल दत्तानी
स्रोत
मुझे समाधान के साथ कोई समस्या आ रही है, कृपया देखें: serverfault.com/questions/815396/…
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.