Como citei no tópico "Como começar a escrever regras para o HLBR?", vi que haviam tentativas de acesso a uma DLL inexistente em meu servidor WEB. Com pesquisas na Internet vi que a DLL owssvr.dll é uma extensão do frontpage e um conhecido ataque a servidores IIS da Microsoft.

Nos logs apareciam assim:

"GET /_vti_bin/owssvr.dll?UL=1&ACT=4&BUILD=4518&STRMVER=4&CAPREQ=0 HTTP/1.1"
"GET /_vti_bin/owssvr.dll?UL=1&ACT=4&BUILD=4518&STRMVER=4&CAPREQ=0 HTTP/1.1"
"GET /owssvr.dll HTTP/1.1"
"GET /owssvr.dll HTTP/1.1"
"GET /_vti_bin/owssvr.dll?UL=1&ACT=4&BUILD=6551&STRMVER=4&CAPREQ=0 HTTP/1.1"

Para barrar este tipo de ataque, basta você escrever a seguinte regra:


Se você deseja fazer o download desta regra, clique aqui.

Ela deve ser colocada no arquivo /etc/hlbr/rules/webattacks.rules. Como lá já existem 16 regras, aí você complementa com a 17.

Reinicie o HLBR. Deixe o log em visualização com:

# tail -f /var/log/hlbr/hlbr.log

E tente fazer algo do tipo:

www.seuservidor.com.br/owssvr.dll

e veja o HLBR pegando este ataque.

Mas veja o seguinte, no próprio arquivo webattack.rules tem a seguinte regra:


Que já bloqueia qualquer tipo de acesso ao diretório _vti_bin, onde fica a dll. Já bloqueando o seguinte ataque:

"GET /_vti_bin/owssvr.dll?UL=1&ACT=4&BUILD=4518&STRMVER=4&CAPREQ=0 HTTP/1.1"
"GET /_vti_bin/owssvr.dll?UL=1&ACT=4&BUILD=4518&STRMVER=4&CAPREQ=0 HTTP/1.1"

Porém não bloqueando este:

"GET /owssvr.dll HTTP/1.1"
"GET /owssvr.dll HTTP/1.1"

Fazendo necessária a inclusão desta regra.