PHP_Hack_Trap_1.0-RC1

[Conchise]

Bonjour,

Comme promis, je viens partager avec vous et soumettre à votre avis un module de sécurité que j'ai créé.

Il s'appelle PHP_Hack_Trap. C'est la version 1.0 RC1. A tester. A Améliorer.

Plan :
1. Role
2. Exemples/Idées d'utilisation
3. Config. nécessaire
4. Installation


Rôle :

Il s'agit d'un piège à pirates qui se termine par (au choix) :

- L'écriture (IP, date, heure, commentaire) dans un log.
- L'envoi d'un mail détaillé à l'admin
- Un ban après plusieurs appels de la page (plusieurs erreurs)
- Un ban direct


Exemples :

Aucun lien de votre site ne mène au dossier /include ou /db. Donc, si quelqu'un essaie d'y accéder c'est qu'il a tapé l'adresse dans le navigateur. La directive d'index de votre .htaccess redirige vers une page PHP_Hack_Trap. Il gagne un ban direct. (dossier ou ensemble du site)

Le dossier /admin de votre site est protégé par mot de passe. En cas d'erreur la directive ErrorDocument de votre .htaccess redirige vers une page La directive d'index de votre .htaccess redirige vers une page PHP_Hack_Trap. Au bout d'un certain nombre d'erreurs -> ban permanent (dossier ou ensemble du site)

Vous pouvez appeler une page Hack_Trap depuis un scripte de votre site.


Config. Nécessaire :

- Php, mais je ne sais pas quelle version. (Je débute, merci)
- La fonction mail()
- Une base de données MySQL. Je ne sais
pas non plus quelle version.
- Pouvoir avoir des fichiers .htaccess sur son serveur.

Mise en place :

1. Décompresser l'archive et copier les fichiers dans le dossier à protéger.
2. Editer le fichier sec_config.php. Entrer les paramètres de la base de donnée, fichiers, mail, commentaires... voir poste suivant.
3. Lancer le fichier sec_Install.php qui se chargera de créer les tables.
4. Supprimer le fichier d'installation.
5. Rediriger l'utilisateur vers la page sec_denied.php en cas d'erreur. Cette page peut être renomée à volonté.

Post suivant : Le fichier de configuration.

[Conchise]

Le fichier de configuration commenté :

Chaque fichier Hack Trap va chercher sa configuration dans son dossier. Ensuite, suivant la-dite configuration, il peut y avoir ban : au niveau du-dit dossier ou de l'un de ses parents jusqu'au niveau de l'ensemble du site. Il suffit de préciser le chemin du fichier à autoriser :

[Conchise]

Les possibilités du module, les améliorations futures :


Possibilités :

Actuellement, à chaque appel de la page :

1. On vérifie si l'ip est répertoriée et on crée / ou incrémente le compteur de cette ip.
2. S'il y a lieu de bannir, il y a ban.
3. Dans tous les cas, un message est écrit dans un fichier log. Un autre est écrit dans une table. (Ca, c'est pour le futur : possibilités de chercher des ip / dates / etc... dans la table)
4. Si la bdd ou le fichier n'est pas accessible, un mail est envoyé avec toutes les infos (ip, date, mysql_error().... (Les erreurs bdd sont également inscrites dans le fichier s'il est dispo.)
5. En cas de ban, le .htaccess est lu. "Deny from ip" est ajouté au début puis il est réécrit. S'il n'existe pas, il est créé.

Il est possible de ne pas utiliser de bdd. Mais dans ce cas soit le ban est est direct, soit il y a log dans un fichier, sans jamais de ban. Pour cela, mettre dans un fichier le code suivant :

Ban direct :

[biloute]

Hello,

juste une petite question, ça marche avec phpBB2 et 3?
Sinon super boulot que tu as fais là

[Conchise]

Merci. Mais, il y a encore du travail dessus.

Oui, je pense que ça peut marcher avec tout. C'est indépendant. Et le nom très personnalisé des variables te permettent *normalement* de l'inclure dans une de tes pages.

Mais, bon, ces pages sont surtout faites pour se trouver là où seul un pirate ira.
Par exemple ton dossier include : Aucun lien de ton forum/cms n'envoie un utilisateur là ?
Donc, si un utilisateur s'y trouve, c'est qu'il a lui-même tapé l'url et... c'est pas bien !
Donc tu peux décider d'une action allant du simple affichage d'un message d'erreur avec log et / ou mail jusqu'au ban, suivant la gravité de l'action.

Ca te permet de virer ceux qui jouent à chercher les failles avant qu'ils ne passent à l'action.

Pour diriger l'utilisateur vers cette page, tu peux soit la renommer en index, soit ajouter dans ton .htaccess la directive DirectoryIndex.

Plus d'info :

http://www.apachefrance.com/Manuels/Apache_1.3_VF/mod/mod_dir.html#directoryindex
http://www.commentcamarche.net/apache/apacht.php3 (tout en bas de la page)

[biloute]

Une autre question me vient, si bots (google msn, etc) tente d'accéder à un dossier interdit, au bout d'un moment il sera banni! Mais est-ce que les bots cherchent à aller vers ces dossiers?

[Conchise]

Le scripte se concentre sur l'IP. Donc, oui, les bots seront bannis comme tout le monde. Mais on peut facilement éviter que cela n'arrive en combinant deux mesures :

1. Indiquer dans ton fichier robots.txt que ces dossiers ne sont pas à visiter
2. Utiliser une liste blanche pour les robots.

On peut ausssi souligner que le ban n'est pas obligé de s'appliquer à tout le site.

Dans mon cas, je n'ai pas ce problème de robots parce que j'utilise la page pour deux usages :

1. J'ai renommé mon dossier admin. Il n'existe plus, il n'y a plus aucune référence vers lui. Ensuite, en tant que piège, je l'ai recréé vide. Donc AUCUN lien de mon site, ni mon robots.txt ne pointe vers le dossier admin vide. Le listage des fichiers et dossiers n'est pas autorisé. Donc si quelqu'un va dedant, c'est un humain qui en a tapé l'adresse pour y aller. Je me permets de douter de ses intentions. En fait, c'est le ban direct.

2. Mon forum utilise un CAPTCHA pour l'inscription. Mais les mal-voyants risquent de ne pas pouvoir l'utiliser et ils ne pourront pas s'inscrire. Donc, à coté de l'image, un message avec un lien vers un formulaire situé dans un autre dossier indique à ces utilisateurs qu'ils peuvent demander à un admin la création de leur compte en envoyant un mail. (le formulaire envoie le mail)
Mais, je ne peux pas protéger ce formulaire contre le spam à l'aide d'un CAPTCHA.... C'est là que le scripte intervient. A chaque envoi d'un mail, le compteur de l'adresse IP est incrémenté. Je laisse la personne envoyer un maximum de trois mails par jours. Tous les jours à 3h du matin, une tâche cron supprime le .htaccess du dossier. C'est reparti pour trois mails/IP.

-> Modifs : Créer un formulaire mail. Il POST les données à la page HackTrap qui fait son boulot. En fin de page, j'appelle la fonction

[biloute]

D'accord, ton système de protection est redoutable tout de même, peu de chance de voir ton site un jour défacé! Chapeau.

[Conchise]

[biloute]

Salut,

c'est sûr que c'est une tâche colossal auquel tu t'attaque mais si tu parviens à faire ce que tu souhaites alors là tu pourras être fier de ça et phpBB sera une plate forme des plus sûr.
Dès que j'ai des repos, je m'attaquerais à tester ton mod.

[dcz]

Très intéressant, le fait de modifier directement le .htaccess permet d'aller hachemement plus vite qu'en passant par la db, c'est plus robuste contre les attaques en surcharge.

Le code est pas mal, j'ai cependant quelques remarque (je me permet vu que tu "débutes" en php).

Donc, ce code n'est pas à utiliser si register global est actifs, si non, il faudrait nettoyer les variable, comme le fait phpBB3 dans common.php par exemple.
Mais un avertissement dans un txt pourrait suffir, car register global est de toutes façons pas une bonne chose pour la sécurité.

Ensuite, dans sec_config.php, j'aimerais bien voir :

[Conchise]

[Conchise]

J'ai oublié :

Pour le test de l'adresse IP j'ai ajouté le code suivant dans le fichier principal. Est-ce qu'il existe d'autres adresses invalides ?

[hawk88]

[SeO]