Axiso

Notes

Aptitude – Etre informé des mises à jour avec Apticron

En vrac — octobre 2009 , , —

L’outil Apticron offre la possibilité de lister quotidiennement les nouveaux paquetages habituellement disponibles avec la commande aptitude upgrade sous forme d’e-mail.

aptitude update
aptitude install apticron

Modifier l’adresse e-mail vers laquelle envoyer les messages d’information :

sed -i 's/EMAIL="root"/EMAIL="contact@example.com"/' /etc/apticron/apticron.conf

Audit Apache avec Nikto

En vrac — octobre 2009 , —

Installation de l’outil Nikto :

aptitude install nikto

Mise à jour de ses données de test :

nikto -update

Analyse du serveur Apache correspondant à un domaine :

nikto -h www.example.com

Après quelques instants, le résultat obtenu listera les alertes et informations relatives aux différents tests menés par Nikto sur le serveur :

---------------------------------------------------------------------------
- Nikto 2.02/2.03     -     cirt.net
+ Target IP:       111.222.333.444
+ Target Hostname: www.example.com
+ Target Port:     80
+ Start Time:      2009-11-11 11:11:11

+ Server: Apache/2.2.9 (Debian) PHP/5.2.11-0.dotdeb.1 with Suhosin-Patch
- Allowed HTTP Methods: GET, HEAD, POST, OPTIONS, TRACE
+ OSVDB-877: HTTP method ('Allow' Header): 'TRACE' is typically only used for debugging and should be disabled. This message does not mean it is vulnerable to XST.
+ OSVDB-877: TRACE / : TRACE option appears to allow XSS or credential theft. See http://www.cgisecurity.com/whitehat-mirror/WhitePaper_screen.pdf for details
+ OSVDB-3268: GET /icons/ : Directory indexing is enabled: /icons
+ OSVDB-3233: GET /icons/README : Apache default file found.
+ 2967 items checked: 5 item(s) reported on remote host
+ End Time:        2009-10-20 9:50:09 (10 seconds)

+ 1 host(s) tested

Les alertes présentées ici correspondent à celle d’un serveur Apache nouvellement installé et ne représentent pas de faille de sécurité directes.

Aptitude – GPG error, the public key is not available

Erreurs — octobre 2009 , —

Lors d’un aptitude update :

W: GPG error: http://www.example.com lenny Release: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 1A2B3C4D5E6F7G8H
W: You may want to run apt-get update to correct these problems

Il manque donc une clé GPG sur la machine qui tente d’accéder au dépôt d’applications.
Afin de l’ajouter aux clés prises en charge par GPG, importer la clé manquante :

gpg --keyserver subkeys.pgp.net --recv 1A2B3C4D5E6F7G8H
gpg --export --armor 1A2B3C4D5E6F7G8H | sudo apt-key add -

Mettre Aptitude à jour :

aptitude update