Este é um passo que requer atenção, pesquisa e alguns testes. Em primeiro lugar você deve ler o README que vem no diretório do HLBR. Lá existem dicas preciosas de como começar a construí-las. Lá também você consulta os parâmetros possíveis e as ações que o HLBR pode tomar.

Em segundo lugar, ler LOGs, lá você vai encontrar o que estão tentando fazer com seus servidores, quais são os erros comuns e os strings que estão sendo "injetadas" nos seu servidor.

Neste passo aconselho a instalação de programas que auxiliam na leitura de logs como o LOGWATCH, SWATCH e AWSTATS.

Um bom exemplo é aqui na empresa. Constatei vários acessos a uma dll em meu servidor. Esta dll é a owssvr.dll e vi que é um ataque as expressões do frontpage.

Ao longo do artigo, vou ensinar a escrever algumas regras inéditas. Esta regra, será uma delas.

Em terceiro lugar, é bom você conhecer um pouco de expressões regulares, não é obrigatório, porém importante.

Expressões regulares definem um padrão a ser usado para procurar ou substituir palavras ou grupos de palavras. É um meio preciso de se fazer buscas de determinadas porções de texto.

Por exemplo, se o conjunto de palavras for {asa, carro, jardim, ovos, terra} e a expressão regular buscar por um padrão rr, obterá as palavras carro e terra.

Existem vários caracteres especiais chamados metacaracteres nas Expressões Regulares para fazer uma busca avançada de palavras dentro de uma frase. (Fonte: wikipedia)

Por exemplo:

Existe um ataque básico a um servidor HTTP que pode ser visto neste vídeo:

• http://ufpr.dl.sourceforge.net/sourceforge/hlbr/http_attack_sample.avi

que é a tentativa do atacante passear no hd do servidor, tentando descer na árvore de diretórios chamando os caracteres ../.

Exemplo:

http://www.vivaolinux.com.br/../../

Se o servidor do Viva o Linux tivesse esta vulnerabilidade eu conseguiria ver a raiz do disco do servidor (caso as páginas dele esteja hospedada em /var/www).

Ou ainda posso tentar ver os arquivos de senha do servidor:

http://www.vivaolinux.com.br/../../etc/passwd
http://www.vivaolinux.com.br/../../etc/shadow

Com o HLBR, basta eu ter a seguinte regra:


Veja a expressão regular:

http regex(\.+(/|\\)+)

Ou seja, se na URL vier . (ponto) seguido de barras sejam elas normais (/) ou invertidas (\), o hlbr toma a ação action1, que é bloquear e colocar em log.

Quem quiser enveredar ou se especializar em Expressões Regulares, aconselho o site do Aurelio Marinho Jargas:

• http://aurelio.net/er