Dotaz: Apache nenaslouchá?

[semtex]

Ahoj, kamarád chtěl něco nastavit na pronajatém virtuálním serveru s CentOS.

Nainstaloval jsem tam apache, port 80 je otevřený, přímo ze serveru "lynx localhost" se na stránky dostanu, ovšem zvenku se tváří, že je port zavřený:

root@mail:~# nmap -p 80 ipaddr

Starting Nmap 6.47 ( http://nmap.org ) at 2021-04-21 15:59 CEST
Nmap scan report for name (ipaddr)
Host is up (0.011s latency).
PORT   STATE    SERVICE
80/tcp filtered http

Nmap done: 1 IP address (1 host up) scanned in 1.37 seconds

Firewall tam není. Mám pocit, že jsem asi zapomněl na nějakou blbost v konfiguraci apache, ale nějak na to nemůžu přijít.

Dík za kopanec.

---

---

Odpovědi

[jiwopene]

To znamená že nejen nenaslouchá, ale ani neřekne nic o tom, že tam nikdo nenaslouchá. Opravdu tam není firewall, resp. nějaké pravidlo iptables/…?

Jak vypadá nmap localhostu z daného stroje?

Jak vypadá Listen v konfigraci Apache?

[semtex]

v konf. apache je toto:

Listen 80

a výstup nmap je:

nmap localhost
Starting Nmap 7.70 ( https://nmap.org ) at 2021-04-21 16:25 CEST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000070s latency).
Other addresses for localhost (not scanned): ::1
Not shown: 997 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
3306/tcp open  mysql

Nmap done: 1 IP address (1 host up) scanned in 1.66 seconds

[Filip Jirsák]

Není Apache nastaven, aby naslouchal jen na localhostu? Co vypíše následující příkaz?

netstat -nltp

[Filip Jirsák]

Ten příkaz netstat spusťte na tom počítači s Apachem…

[semtex]

toto:

netstat -nltp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:5355            0.0.0.0:*               LISTEN      1143/systemd-resolv
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      19468/sshd
tcp        0      0 0.0.0.0:10050           0.0.0.0:*               LISTEN      26215/zabbix_agentd
tcp        0      0 0.0.0.0:10051           0.0.0.0:*               LISTEN      27311/zabbix_server
tcp6       0      0 :::3306                 :::*                    LISTEN      25877/mysqld
tcp6       0      0 :::5355                 :::*                    LISTEN      1143/systemd-resolv
tcp6       0      0 :::80                   :::*                    LISTEN      84076/httpd
tcp6       0      0 :::22                   :::*                    LISTEN      19468/sshd
tcp6       0      0 :::10050                :::*                    LISTEN      26215/zabbix_agentd
tcp6       0      0 :::10051                :::*                    LISTEN      27311/zabbix_server
tcp6       0      0 :::33060                :::*                    LISTEN      25877/mysqld

[j]

A mas IPv6? Zkus to po ni, v LAN nepotrebujes ani verejny adresy, stacej ti linkovy (fe80::).

Tenhle vypis je totiz takovej meh ... jak muzes sam videt.

Trebas sshd je krasnej priklad, kdy ho vidis jak na ipv4 tak na ipv6(+ipv4) ...

Totizto :: by spravne melo znamenat vse, vcetne IPv4, coz je presne pripad toho apache, kterej tam vidis prave jen na tom (a ze to tak je, sis overil sam tim nmapem na localhost, protoze sel na IPv4).

Jinak se da predpokladat, ze mas v ceste nejakej firewall (ten nemusi byt nutne na stroji, na kterym mas toho apache). Odladit to muzes tak, ze si pustis trebas tcpdump (na tom stroji s apachem a zafiltrovanej na port 80). Minimalne uvidis, jestli dorazi pakety od klienta, pripadne zda mu jsou odeslany nejaky odpovedi.

---

Dete s tim guuglem dopice!

[PetebLazar]

U těch :: je vpředu zmíněno tcp6, v případě funkčního IPv4 poslechu na všech IP adresách bych očekával ve výpisu řádek s tcp .... 0.0.0.0:80 .... LISTEN .....

[j]

Mno vis, ono je to i tim, ze tenhle nastroj stejne jako trebas ifconfig ... nefunguje. Respektive co ti ukaze zalezi na ruznych okolnostech a neni to uplne koser. Spravne bys mel pouzit ss. Jenze to zas generuje pomerne hnusny vystup, a tohle vetsinou staci.

Co bys ocekaval je pak nepodstatny, je to jak sem napsal a muzes si to klidne overit. Apache (a dalsi servisy) vzdy podle tohodle vypisu nasloucha na :: ale to neznamena, ze neni na IPv4. A spravne je tam i to tcp6 ... protoze i to v sobe obsahuje celou Ipv4. Je to tak navrzeny.

Kdyz si pustis to spravny ss, tak ti to samo rozepise spravne.

---

Dete s tim guuglem dopice!

[Jendа]

Firewall tam není.

Opravdu? Ne CentOSu býval defaultně zapnutý a všechno zakázáno.

iptables-save

tcpdump -i eth0 port 80

traceroute -Tp 80 stroj

[semtex]

hmm, je tam toto, default policy ACCEPT:

iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
f2b-SSH    tcp  --  anywhere             anywhere             tcp dpt:ssh
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere             state NEW tcp dpt:ssh
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain f2b-SSH (1 references)
target     prot opt source               destination
REJECT     all  --  147.139.135.49       anywhere             reject-with icmp-port-unreachable
REJECT     all  --  218.92.0.175         anywhere             reject-with icmp-port-unreachable
REJECT     all  --  221.181.185.153      anywhere             reject-with icmp-port-unreachable
REJECT     all  --  221.181.185.135      anywhere             reject-with icmp-port-unreachable
REJECT     all  --  101.6.64.76          anywhere             reject-with icmp-port-unreachable
RETURN     all  --  anywhere             anywhere

[j]

Default je nezajimavej ...

Z toho vypisu:

Mas tam vymenovany IPcka, kterym to nepovoli SSH, coz ti tam generuje f2b. To je prvni pravidlo. Pak mas povoleni uz navazanych pripojeni. Mas kompletne povoleny ICMP (coz neni na ipv4 dobre). Pak mas povoleno vse, coz znamena, ze tim koncis a dal se paket nedostane. Ty dalsi pravidla jsou tam uplne knicemu jedno povoluje ssh, duhy zase !naprosto spatne! ** vse odmita).

Takze prakticky jediny pravidlo ktery tam dava nejakej smysl je jen to prvni, ostatni jsou nanic.

Na outputu nic nemas, takze tohle by pouziti http branit nemelo.

Mas zakazany routovani, coz je ovsem blbost delat takhle, protoze DROP na chainu je mnohem prihodnejsi. Takhle muzes tak akorat slouzit jako forwarder nejakyho toho ddosu.

Spis se mrkni na iptables -nvL, to ti zobrazi i citace (zajimaji te pocty paketu) u jednotlivych pravidel + dalsi podrobnosti.

**

Pamatuj si, ze na verejne dostupny siti nema reject v prakticky 100% pripadu vubec co pohledavat. Protoze tim docilis pouze toho, ze kdyz ti ja poslu paket from prezident ... tak ty posles prezidentovi, ze paket neprijimas. A tvoje IP skonci na nejakym blacklistu. Verejnej firewall by vzdy mel mit policy (ten default) na drop. Proste kdyz dorazi neco co nechces, tak to potichu zahodis. Mimochodem to samo naprosto blbe dela i ten f2b. Coz je kapitola sama pro sebe, v tyhle podobe (tak jak se chova tobe) ti na tvuj stroj udelat DOS je naprosta trivka, behem par minut ti vygeneruju miliony pravidel a tvuj firewall se z toho podela.

****

Ad ten zbytek co z nej nejsi moudrej, nebudu z toho delat dalsi prispevek zasratymu guuglu, takze posilas pakety na port 80 a v ty druhy casti vidis, ze prichazeji, ale neni tam zadna odezva, coz je spatne.

Kdyby to fungovalo spravne, bude tam neco jako:

...IP mail.vidocq.cz.34359 > ZABBIX-SPRINC.http:...
...IP ZABBIX-SPRINC.http > mail.vidocq.cz.34359:...

Tzn ty posles pozadavek na server a on ti odpovi. Tudiz problem je jednoznacne na strane toho serveru, protoze neodpovi.

Takze co me napada jsou dve veci, posilas odpoved jinam nez na eth0. Mas blbe nakonfigurovanej apache. V obou pripadech bys ale mel v logu apache videt nejaky pokusy, takze se tam podivej, jestli tam neco je, tak to znamena, ze ty pozadavky mu dojdou.

---

Dete s tim guuglem dopice!

[semtex]

Že je fw divně nakonfigurovaný jsem si všiml, jen jsem ho neřešil, protože ten si konfiguroval kamarád nebo to je nějaký defaultní,netuším. Každodenně toho rejectu na konci jsem si zezačátku nevšiml.

[jejda]

To jestli ten port 80 něco zvenku neblokuje se dá hezky zjistit netcatem. První na webserveru preventivně vypnout httpd a pustit něco takového:

echo "test portu 80" | nc -l 80

a potom rychle na nějakém venkovním stroji:

nc ipadresa 80

pokud se venku nevypíše hláška "test portu 80" nebo to zůstane viset tak je port zablokovaný. Když se hláška vypíše, tak připojení zvenku funguje a třeba hledat chybu u apache.

[semtex]

Tak jsem to zkusil a bohužel z toho nejsem moudrej poradíš?

Stroj zvenku:

traceroute -Tp 80 185.33.146.22
traceroute to 185.33.146.22 (185.33.146.22), 30 hops max, 60 byte packets
 1  80.188.65.49 (80.188.65.49)  2.140 ms  2.134 ms  2.129 ms
 2  80.188.61.133 (80.188.61.133)  6.691 ms  6.814 ms *
 3  194.228.21.248 (194.228.21.248)  7.017 ms  7.048 ms  7.079 ms
 4  nix1.forpsi.net (91.210.16.165)  7.253 ms  7.361 ms  7.392 ms
 5  primary.ant-core.forpsi.net (81.2.192.17)  11.206 ms  11.234 ms primary.bee-core.forpsi.net (81.2.192.18)  11.266 ms
 6  ant-cloud.cloud-ant-bee.forpsi.net (81.2.192.86)  11.296 ms  10.609 ms  10.815 ms
 7  22.146.forpsi.net (185.33.146.22)  10.085 ms !X  9.945 ms !X  9.964 ms !X

Stroj CentOS:

18:48:56.484873 IP mail.vidocq.cz.34359 > ZABBIX-SPRINC.http: Flags [S], seq 640284538, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492723 IP mail.vidocq.cz.38677 > ZABBIX-SPRINC.http: Flags [S], seq 1554297249, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492804 IP mail.vidocq.cz.45342 > ZABBIX-SPRINC.http: Flags [S], seq 1673059401, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492870 IP mail.vidocq.cz.44436 > ZABBIX-SPRINC.http: Flags [S], seq 3673617351, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492935 IP mail.vidocq.cz.57813 > ZABBIX-SPRINC.http: Flags [S], seq 1654734469, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492978 IP mail.vidocq.cz.59228 > ZABBIX-SPRINC.http: Flags [S], seq 3665897472, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493042 IP mail.vidocq.cz.33107 > ZABBIX-SPRINC.http: Flags [S], seq 356597788, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493061 IP mail.vidocq.cz.35851 > ZABBIX-SPRINC.http: Flags [S], seq 355393615, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493092 IP mail.vidocq.cz.47913 > ZABBIX-SPRINC.http: Flags [S], seq 2167892113, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493218 IP mail.vidocq.cz.35822 > ZABBIX-SPRINC.http: Flags [S], seq 4228978800, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493241 IP mail.vidocq.cz.34692 > ZABBIX-SPRINC.http: Flags [S], seq 3918852924, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493330 IP mail.vidocq.cz.37764 > ZABBIX-SPRINC.http: Flags [S], seq 183296150, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493353 IP mail.vidocq.cz.54639 > ZABBIX-SPRINC.http: Flags [S], seq 2909460348, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0

[Filip Jirsák]

Všechno špatně, beru zpět. Jsem lama Až teď jsem si všiml, že na konci fw je pravidlo všechno REJECT.

Omlouvám se.

[Filip Jirsák]

To pravidlo ACCEPT all, které je předtím, bude mít nejspíš ještě nějaké další podmínky, které v tomhle výpisu nejsou vidět – např. rozhraní. Doporučuju do výpisu iptables přidávat -v. A také se hodí přidávat tam -n, nejsem ve výpisu iptables zvědav na DNS názvy, a ještě na to čekat, než se to přeloží… Takže automaticky píšu iptables -nvL.

[Jendа]

Proto jsem mu říkal, že má použít iptables-save, což vypíše kompletní pravidla tak jak byla přidávána… (a třeba i včetně dalších tabulek, které se jinak musí explicitně vyžadovat (např. -t nat)).