AG Test: apache

<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgKHg-CzX23LaK1lJrGpAw7g6HeH2YFWSNSiXB9Wnc-p90xP-dwtuNu5t_0EVKdHNFMWEYQ1Xtu455P_ao4Wn8EIzUXRb5uc4XG0YvfEZDu1uAaeXXnyY-tcREFwwPHUV3QU8JVl3X43Jap/s1600/ssl-certificate-300x210.jpg" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="140" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgKHg-CzX23LaK1lJrGpAw7g6HeH2YFWSNSiXB9Wnc-p90xP-dwtuNu5t_0EVKdHNFMWEYQ1Xtu455P_ao4Wn8EIzUXRb5uc4XG0YvfEZDu1uAaeXXnyY-tcREFwwPHUV3QU8JVl3X43Jap/s200/ssl-certificate-300x210.jpg" width="200" /></a><br /><div style="text-align: justify;">Bu notta adım adım Backtrack5 R3 dağıtımı üzerinde Apache sunucusunun SSL ile beraber HTTPS hizmeti verecek şekilde yapılandırılması anlatılacaktır.</div><div style="text-align: justify;">Öncelikle HTTPS hizmetinin verilebilmesi için SSL için gerekli sertifika ve özel anahtarların oluşturulması gerekmektedir. Varsayılan olarak bu dosyalar /etc/ssl dizini altında yer almaktadır. Kuruluma başlamadan önce bahsi geçen dizin ve içeriği aşağıdaki gibi gözükmektedir.</div><a name="more"></a><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg2oc5JtSqUdEW0fCVqABs-49kRK2efWv3pMZ53mkk2JbQaXl2AVhyphenhyphenylCmdSm0d_Vo8TupBxUUMw3_IGx7BAV41V7ZfRPCs-57-XBFZiibZCXGpUQe-L0BRiMzv8AyyjETBNijlTMDhq5Zg/s1600/1.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg2oc5JtSqUdEW0fCVqABs-49kRK2efWv3pMZ53mkk2JbQaXl2AVhyphenhyphenylCmdSm0d_Vo8TupBxUUMw3_IGx7BAV41V7ZfRPCs-57-XBFZiibZCXGpUQe-L0BRiMzv8AyyjETBNijlTMDhq5Zg/s1600/1.png" /></a></div><div style="text-align: justify;">OpenSSL kullanılarak sunucuya ait anahtar dosyası oluşturulur. Burada isteğe göre bir parola belirlenmektedir.</div><h4># openssl genrsa -des3 -out server.key 2048</h4><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgrZ53ncxqxmIwNneMi1HtnYxHlyQlSZNFu7zjlMHYnMFU1pGPAH6pjBd86DDNfAZuasrKPgXLMR-_Hg2yvSXGMbHbLl-NuoL-PDK2hAL24dBTCUbT8MNmUk382ugghN7m4kUwo-2YRtmEE/s1600/2.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgrZ53ncxqxmIwNneMi1HtnYxHlyQlSZNFu7zjlMHYnMFU1pGPAH6pjBd86DDNfAZuasrKPgXLMR-_Hg2yvSXGMbHbLl-NuoL-PDK2hAL24dBTCUbT8MNmUk382ugghN7m4kUwo-2YRtmEE/s1600/2.png" /></a></div><span style="text-align: justify;">Aynı araç ve oluşturulan anahtar kullanılarak sertifika talebi dosyası oluşturulur. Self-signed sertifika oluşturulduğu için gelen sorulara istenilen yanıt verilebilir.</span><br /><h4># openssl req -new -key server.key -out server.csr</h4><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhjlnU5xWttriIhVxsGhK0Lar1HObi8d_tb7F6e-20DKH1CkjNKUPYIdfLOEYJyW7sX2IMMU21c8KhSh27fN9OAE0a1p5D4u-rPe9HGPSqyEVCJ99UmpdccpLipU7F-zh4FsvGJVf9bQRUD/s1600/4.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhjlnU5xWttriIhVxsGhK0Lar1HObi8d_tb7F6e-20DKH1CkjNKUPYIdfLOEYJyW7sX2IMMU21c8KhSh27fN9OAE0a1p5D4u-rPe9HGPSqyEVCJ99UmpdccpLipU7F-zh4FsvGJVf9bQRUD/s1600/4.png" /></a></div><div style="text-align: justify;">Takiben, anahtar dosyası ve sertifika talebi kullanılarak geçerlilik süresi 365 gün olacak şekilde sertifika dosyası oluşturulur.</div><h4># openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt</h4><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEho4teggi5Lh8JgNn5WLeP6c9YhT4wV-JnR4LfttU-EX7Re-vFgYjx9HTe4Pu3TzPC1USku4j6MjrdC5zOx73BADxXrgCezDK8WPpPV06tLHBOS7bbDTlulVSCA1l90RE0cmWIw9-51pE0u/s1600/5.png" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="84" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEho4teggi5Lh8JgNn5WLeP6c9YhT4wV-JnR4LfttU-EX7Re-vFgYjx9HTe4Pu3TzPC1USku4j6MjrdC5zOx73BADxXrgCezDK8WPpPV06tLHBOS7bbDTlulVSCA1l90RE0cmWIw9-51pE0u/s640/5.png" width="640" /></a></div>Bu adımlar tamamlandıktan sonra <b>/etc/ssl </b>dizini ve içeriği aşağıdaki şekilde olmaktadır.<br /><div class="separator" style="clear: both; text-align: center;"></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhxUNwX2K15ST3tBkDahUpF9s4M0mm17ouL3x8Ugx7AjPgswiZtrfRKTl8VEZM0ANpUYbjw7_nbkGZD0S9K1Y_CbLmoxYG2w0mtVj9MZHCrDQNLozp4J6RojDGPMyKwijUDczyu9mYIcvUq/s1600/6.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhxUNwX2K15ST3tBkDahUpF9s4M0mm17ouL3x8Ugx7AjPgswiZtrfRKTl8VEZM0ANpUYbjw7_nbkGZD0S9K1Y_CbLmoxYG2w0mtVj9MZHCrDQNLozp4J6RojDGPMyKwijUDczyu9mYIcvUq/s1600/6.png" /></a></div>Mevcut anahtardan yeni bir anahtar türetilir ve sonrasında güvenli dosya izinleri uygulanır.<br /><h4># openssl rsa -in server.key -out server.key.insecure</h4><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg1TrIRhsrenArGBR8lM6w1evhnQ0dO5blD5Zt4uS-N1uSgRIzfpTeHaft3_bwKqs3GArftiGA40cYUzxYr5utnzaY11nKI67-GOxAlUDQRKk1WIHffxOs1K3rffRzd3NyLnBs15VHGDJpS/s1600/7.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg1TrIRhsrenArGBR8lM6w1evhnQ0dO5blD5Zt4uS-N1uSgRIzfpTeHaft3_bwKqs3GArftiGA40cYUzxYr5utnzaY11nKI67-GOxAlUDQRKk1WIHffxOs1K3rffRzd3NyLnBs15VHGDJpS/s1600/7.png" /></a></div>Son durumda <b>/etc/ssl</b> dizini içerisindeki dosyalar ve izinler aşağıdaki şekilde olmaktadır.<br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgqWMWVqzvjO7xFM1AEOm2VGDUia1KrI_EO_PLKxirZcHiNewafMOPKjcwe8_0Eb60etLK3YTWfSH07VRfbhW8nZ2n1eI_fZfi9dM-I0qfRi4kDvwkIOxooY8Zn-qwDU3HLo9tXrXk0lcwG/s1600/8.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgqWMWVqzvjO7xFM1AEOm2VGDUia1KrI_EO_PLKxirZcHiNewafMOPKjcwe8_0Eb60etLK3YTWfSH07VRfbhW8nZ2n1eI_fZfi9dM-I0qfRi4kDvwkIOxooY8Zn-qwDU3HLo9tXrXk0lcwG/s1600/8.png" /></a></div><div style="text-align: justify;"><b>/etc/apache2 </b>altında <b>ssl </b>dizini oluşturulduktan sonra <b>/etc/ssl</b> altında şimdiye kadar oluşturulan bütün dosyalar buraya kopyalanır. Sonrasında Apache için SSL desteği etkin hale getirilir ve kullanacağı yapılandırma dosyası (default-ssl) belirtilir.</div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjscCSaRwJng__GRTf39RN8Q20-Y2JCUE1yd45C6wAMiId4rwGQVZgRyA6PCbhvbWoVdWcPzKIUL7TBCQtUy59XNv_VDticL7qY4E7NS7M-ZtIFiHcZ4fFBeG08LfOouAwLtQNI_F9di-iy/s1600/9.png" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="156" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjscCSaRwJng__GRTf39RN8Q20-Y2JCUE1yd45C6wAMiId4rwGQVZgRyA6PCbhvbWoVdWcPzKIUL7TBCQtUy59XNv_VDticL7qY4E7NS7M-ZtIFiHcZ4fFBeG08LfOouAwLtQNI_F9di-iy/s640/9.png" width="640" /></a></div>Apache altında sunuculacak içerikler için yapılandırma dosyaları <b>/etc/apache2/sites-available/ </b>dizini altında bulunmaktadır. <b>default </b>dosyası içerisini aşağıdaki satır ilave edilir.<br /><h4>...<br />ServerName ssl.agguvenligi.net<br />...</h4>SSL yapılandırması için <b>default-ss</b>l dosyası içerine yukarıdaki satır eklendikten sonra sertifika dosyalarına ilişkin yollar aşağıdaki gibi düzenlenir.<br /><h4>...<br />SSLCertificateFile    /etc/apache2/ssl/server.crt<br />SSLCertificateKeyFile /etc/apache2/ssl/server.key.insecure<br />...</h4>Apache sunucusu aşağıdaki komut ile başlatıldıktan sonra netstat ile çalıştığı teyit edilebilir.<br /><h4># /etc/init.d/apache2 restart</h4><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgrTROAfwO1JlnWgsfTrajfjhG5AqOcAyZei6tCv2N27XQC-ntzo3mpVjq1Gp9ZAuIWcupiF8iQDQ6MRoA7eww9kySp7Nf91gxk8Ulrd_4D39Pq3VVyFC26XnW59Wb3OUiKGNfXKswYO7f9/s1600/11.png" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="112" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgrTROAfwO1JlnWgsfTrajfjhG5AqOcAyZei6tCv2N27XQC-ntzo3mpVjq1Gp9ZAuIWcupiF8iQDQ6MRoA7eww9kySp7Nf91gxk8Ulrd_4D39Pq3VVyFC26XnW59Wb3OUiKGNfXKswYO7f9/s640/11.png" width="640" /></a></div><div></div>

Backtrack5 R3 ile HTTPS Sunucusu Kurulumu

Bu notta adım adım Backtrack5 R3 dağıtımı üzerinde Apache sunucusunun SSL ile beraber HTTPS hizmeti verecek şekilde yapılandırılması anlatıl...

<div style="text-align: justify;">Bu notta Apache web sunucusu için belirtilen kurallara göre yasaklama işlemi gerçekleştirerek servis dışı bırakma türündeki saldırılara karşı IP bazlı kısıtlama sağlayan <b>mod_evasive </b>modülünün <b>RedHat </b>tabanlı sistemlerde kurulum uygulaması yapılacaktır.<br /><a name="more"></a><h2>Modül Kurulumu</h2></div><div style="text-align: justify;">Öncelikle gerekli Apache sunucusu için gerekli bağımlı paketlerinin kurulumu gerçekleştirilir.  </div><h4># yum install httpd-devel</h4>Yum ile <b>EPEL </b>paket deposundan aşağıdaki gibi modül kurulumu sağlanabilir.<br /><h4># yum install mod_evasive</h4><div style="text-align: justify;">Alternatif bir yol olarak bağlantıdan<b> mod_evasive</b> paketi indirildikten sonra <b>apxs2 </b>ile kurulumu gerçekleştirilir.</div><h4><div style="text-align: justify;"># cd /usr/src</div># wget wget http://www.zdziarski.com/blog/wp-content/uploads/2010/02/mod_evasive_1.10.1.tar.gz<br /># tar xzf mod_evasive_1.10.1.tar.gz<br /># cd mod_evasive<br /># apxs2 -cia mod_evasive20.c</h4><div style="text-align: justify;">Kaynak koddan kuruldu ise Apache yapılandırma dosyası içerisi (<b><i>/etc/httpd/conf/httpd.conf</i></b>) düzenlenerek modül etkin hale getirilir.</div><h4>LoadModule evasive20_module   /usr/lib/httpd/modules/mod_evasive20.so</h4><div style="text-align: justify;">Paket deposundan kurulum sonrası modülle ilgili yapılandırmanın tutulduğu dosya içerisindeki (<b><i>/etc/httpd/conf.d/mod_evasive.conf</i></b>) parametreler sisteme uygun şekilde ayarlanır.</div><h4><IfModule mod_evasive20.c><br />DOSHashTableSize    3097<br />DOSPageCount        2<br />DOSSiteCount        50<br />DOSPageInterval     1<br />DOSSiteInterval     1<br />DOSBlockingPeriod   60<br />DOSEmailNotify admin@sirket.com<br />DOSLogDir   "/var/lock/mod_evasive"<br /></IfModule></h4>Beyaz liste oluşturarak istenen IP adreslerinin kontrol haricinde tutulması sağlanabilir:<br /><h4>DOSWhitelist<span class="Apple-tab-span" style="white-space: pre;"> </span>127.0.0.1<br />DOSWhitelist<span class="Apple-tab-span" style="white-space: pre;"> </span>127.0.0.*</h4>Değişikliklerin etkin olması için Apache servisi yeniden başlatılmalıdır.<br /><h4># /etc/init.d/httpd restart</h4><div>Kurulum sonrası test için arşiv dosyası içerisinde gelen <b>test.pl </b>betiği kullanılabilir.</div><div><h4># ./test.pl<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 403 Forbidden<br />HTTP/1.1 403 Forbidden<br />HTTP/1.1 403 Forbidden</h4><div>Apache log dosyasında durum şu şekilde gözükmektedir:</div><div><h4><span style="font-size: x-small;"># tail -f /var/log/httpd/error_log<br />[Tue Apr 12 17:02:22 2012] [error] [client 192.168.0.2] client denied by server configuration: /var/www/html/<br />[Tue Apr 12 17:02:22 2012] [error] [client 192.168.0.2] client denied by server configuration: /var/www/html/<br />[Tue Apr 12 17:02:22 2012] [error] [client 192.168.0.2] client denied by server configuration: /var/www/html/</span></h4></div><h2>IPtables Kullanan Betiğin Entegrasyonu</h2><div style="text-align: justify;">Her ne kadar istemciler bu şekilde bloklanarak <b>HTTP 403</b> hata sayfası ile karşılaşsalar da bu durum bağlantı tutulduğu her halükarda sistem kaynağının tüketilmesine yol açacaktır. Bu durumda <b>DOSSystemCommand</b>    parametresi yardımıyla aşağıdakine benzer bir betik çalıştırılarak belirlenen IP adreslerinden gelen paketlerin belirli bir süre boyunca <b>IPtables </b>tarafından düşürülmesi sağlanabilir.</div></div><h4>DOSSystemCommand "sudo /etc/local/scripts/yasak.sh %s"</h4>Burada çalıştırılmak istenen betik <b>yasak.sh</b> şu şekilde olabilir:<br /><h4>#!/bin/sh<br />IP=$1<br />IPTABLES=/sbin/iptables<br />$IPTABLES -A banned -s $IP -p TCP --dport 80 -j DROP<br />echo "$IPTABLES -D banned -s $IP -p TCP --dport 80 -j DROP" | at now +1 hours</h4><blockquote class="tr_bq">Betiğin Apache kullanıcısı tarafından çalıştırılabildiği kontrol edilmelidir.</blockquote><div style="text-align: justify;">IPtables kullanılarak 60 saniye içerinde 20 bağlantıdan fazlasını kurmaya çalışan IP adresinin yasaklanması için aşağıdaki gibi bir kural girilmesi yeterlidir.</div><h4># iptables -A INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent --set<br /># iptables -A INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent --update --seconds 60  --hitcount 20 -j DROP<br /># service iptables save</h4>

Apache için DDoS önlemi olarak mod_evasive ve IPtables kullanımı

Bu notta Apache web sunucusu için belirtilen kurallara göre yasaklama işlemi gerçekleştirerek servis dışı bırakma türündeki saldırılara karş...