Wie angreifbar ist der Apache?

[WauWau]

Hallo Andreas,

Das kann man nicht so pauschal sagen. Vorausgesetzt Du bist Dir wirklich sicher dass nur Port 80 offen ist...

hundertprozentig. Siehe die anderen Postings :)

Dazu muss man wissen welches Betriebssystem,

Windows 2000 ;-) *bg*

welche (Version, SP, Kernel...),

hmmm... "Proffessional" ;-)

welche Apache-Version,

2.0.48. Dazu siehe [pref:t=80078&m=465282]

welche Module (ggfs. welche Version),

hmmm...

php4_module,
mod_access,
mod_actions,
mod_alias,
mod_asis,
mod_auth,
mod_autoindex,
mod_cgi,
mod_dir,
mod_env,
mod_include,
mod_log_config,
mod_mime,
mod_negotation,
mod_rewrite,
mod_setenvif

*g* - nicht das das was bringen sollte ;-). Afaik ist meine Apache-Version sowieso fast-ganz-neu, siehe [pref:t=80078&m=465282]

wie ist der Apache konfiguriert,

Hier die httpd.conf:

*bg* ;-) ich glaube, ich verschone das Forum lieber damit.

unter welchem User läuft der Apache,

Mist, ich bin immer noch als Admin eingeloggt. eigentlich wollte ich mir mal nur noch die normale-benutzer-rechte geben, falls wiedererwarten meinem Comp was böswilliges von innen passieren sollte (virus....)... ;)

ggfs. die Scripte, welche Rechte hat dieser User im System,

Ich bin der Boss, jawohl :)

was genau soll der Apache machen...

Momentan etwa auf Anfrage bis zu 20.000 Dateien variiert zurückgeben. Und eine ganze Menge CGI-scripts, ja. Also von den 20.000 sind etwa 5.000 PHP-dateien *g*

wenn da z.B. ne schön alte Postnuke-Version drauf läuft,

Nix gegen CMS, aber ich mag meine eigenen Systeme lieber ;-) - da kommt mir kein CMS ins haus. Oder heißt das nicht etwa CMS? *nixweiß* ;-)

kombiniert mit einem ein paar Monate alten Kernel(im Fall von Linux), dann ist es für das nette Script-Kiddie von nebenan kein Thema sich mal eben root-Rechte auszuleihen...

Wie definierst du denn ein Script-Kiddie? Bei mir waren das immer mit JavaSCript angebende kleine poplige Windows-Kiddies, mehr nicht. ;-)

Was ließe sich da jetzt so rein angriffstechnisch machen?
Das lässt sich beim besten Willen nicht pauschal beantworten.

Na gut, war auch nur so eine Idee ;-)

Und ich habe ja sowieso "herausgefunden", dass ich mit meinem Apachen recht gut bedient bin, siehe [pref:t=80078&m=465282].

Gruß,

WaUWau