(http://cdn4.steadfast.net/images/apache.jpg)
Bueno les queria comentar de algo que puede venir util para hacer information gathering en un pentest (o lo que sea que hagan picarones) para servidores corriendo apache.
Apache tiene una funcion llamada server-status que nos da informacion bastante util, por ejemplo: procesos corriendo, el estado de cada peticion, IPs de personas que esten visitando el sitio, las URL de las peticiones (util para encontrar paneles de admin escondidos o con un nombre no usual), entre otras.
Para usar esto solamente hay que agregar
/server-status/EDIT: Para visualizarlo por ahi de una manera mas comoda para algunos hay que agregar ?notable
O sea que quedaria asi
/server-status?notable/Ejemplo:
http://www.nick.com/server-status
http://apache.org/server-statusGoogle dork:
inurl:/server-status/ + intext:apache statusEspero que les guste, saludos!
Buenisimo Abnormality!
+KARMA
Muy util brother, lo Digo por experiencia propia.
Adrian (Okol) vivio la vez en la que descubri que está función (mod) estaba enabled en X pagina la cual me dejaba apropiarme de El servicio que eyos ofrecen actualmente & de las cuentas de los Usuarios, todo porque Mostraba información (url's) privadas y Datos que pasaban por el servidor mediante la interacción de php con ellos, la pagina Como logicamente adivinaran estaba hecha en php y bueno.... 600 dolares gané esa vez solamente por la curiosidad.
solo es necesario que corra en apache?
y a todo esto , hay forma de quitarlo? osea si tengo mi web corriendo apache puedo eliminar eso?
You are not allowed to view links.
You are not allowed to view links.
Register or Login or You are not allowed to view links.
Register or Login
solo es necesario que corra en apache?
y a todo esto , hay forma de quitarlo? osea si tengo mi web corriendo apache puedo eliminar eso?
Si, solo es necesario que corra apache. Si lo podes quitar para que solo pueda ser accedido desde ciertas IPs.
You are not allowed to view links.
You are not allowed to view links.
Register or Login or You are not allowed to view links.
Register or Login
You are not allowed to view links.
You are not allowed to view links.
Register or Login or You are not allowed to view links.
Register or Login
solo es necesario que corra en apache?
y a todo esto , hay forma de quitarlo? osea si tengo mi web corriendo apache puedo eliminar eso?
Si, solo es necesario que corra apache. Si lo podes quitar para que solo pueda ser accedido desde ciertas IPs.
gracias!
Ahi le hice un edit
Checando, tengo una pagina, vere que tan vulnerable es
<!-- Saludos -->
Excelente aporte Abnormality, sigue así.
sabes, lo he intentado, pero no me funciono.
Lo probé en mi servidor recién instalado, y nada. ¿alguna idea?
Deyual este mod de apache se debe configurar, y basicamente lo que hace es monitorear el servidor y dar un informe sobre lo que está pasando en tiempo real, también da información sobre las url's a las que se les hace petición, esto es peligroso a ojos de todos, al poder ver las url's a las que se les hace peticiones pueden ir credenciales de logueo.
no todos los servidores tienen este mod a ojos de todos, pueden restirngir las ip's que quieran & para comodidad de el Administrador puede ejecutar este mod desde su consola.
aqui dejo la guia en español sobre este mod http://rm-rf.es/apache-activar-httpd-fullstatus/
puede ser un veneno para el admin, pero se puede convertir en medicina si se sabe administrar.
You are not allowed to view links.
You are not allowed to view links.
Register or Login or You are not allowed to view links.
Register or Login
Deyual este mod de apache se debe configurar, y basicamente lo que hace es monitorear el servidor y dar un informe sobre lo que está pasando en tiempo real, también da información sobre las url's a las que se les hace petición, esto es peligroso a ojos de todos, al poder ver las url's a las que se les hace peticiones pueden ir credenciales de logueo.
no todos los servidores tienen este mod a ojos de todos, pueden restirngir las ip's que quieran & para comodidad de el Administrador puede ejecutar este mod desde su consola.
aqui dejo la guia en español sobre este mod http://rm-rf.es/apache-activar-httpd-fullstatus/
puede ser un veneno para el admin, pero se puede convertir en medicina si se sabe administrar.
Se ve interesante y poderoso, aunque no lo usare por ahora, estoy recién comenzando con apache y no me quiero envenenar :P.
la verdad es bastante interesante, no tenía idea de que esto existía.
saludos!
Leean esta entrada De chema alonso.
http://www.elladodelmal.com/2012/11/apache-server-status-abierto-en-miles.html