Dazuko (on-access-scanner für clamav)

Halli hallo,

ich bin gerade dabei, den ClamAV-Virenschutz für mein System aufzusetzen, da ich seit neuem auch anderen Leuten FTP-Zugang geben möchte und kein Bock auf z.B. eine ShellC99.php im Upload habe.
Also, dachte ich mir, flugs ClamAV mit On-Access-Dazuko-Scanner installiert.
Doch wieder einmal macht sich der Nachteil eines virtuellen vServers (nein, nicht versehentlich doppelt) bemerkbar:

checking host system type... Linux
checking for make utility... ok (make)
checking for C compiler... ok (cc)
kernel source in /lib/modules/2.6.31.7-vs2.3.0.36.27-beng/source... no
kernel build source in /lib/modules/2.6.31.7-vs2.3.0.36.27-beng/build... no
kernel build source in /usr/src/linux... no
kernel source in /usr/src/linux... no
error: no kernel source files found

Gibt es eine Möglichkeit, FTP-Uploads von proftpd sofort zu sperren und zu scannen? Ich habe bei meinen Webhostern schon dieses Verhalten gesehen. Die versuchsweise hochgeladene ShellC99 wird umgehend gelöscht, keine Chance.

Vielen Dank und liebe Grüße,
Artimis

Zitat

Wie genau ist denn das verhalten des Webhosters?

Bisher hast du folgendes erwähnt:
ShellC99.php hochgeladen, wurde gelöscht.

Was ist wenn du die gleiche Datei unter anderem Namen hochlädst? Wird diese dann angenommen?
Falls ja deutet das zuerst nur auf eine einfache Namensüberprüfung hin.

Natürlich habe ich die Datei nicht unter dem namen ShellC99.php hochgeladen. Sonst könnte ich ja gleich in die Polizeiwache stürmen und versuchen, einem Polizisten eine zu geben.
Die Datei war getarnt als Funktion in einem Galeriemodul.
Eine reine Namensüberprüfung wird denke ich mal von niemanden durchgeführt, weil es einfach Schwachsinn ist.
Es wäre ja, als ich ich beim Banküberfall nicht belangt werden könnte, weil ich "Hände hoch, dies ist ein Blumentop" schreie.
Sry für die Vergleiche, gucke gerade nen Krimi

Zitat

Auf der Seite von ProFTPD gibt es eine Anleitung wie man Virenscanner in die Uploads einbindet: http://wiki.clamav.net/bin/view/Main/ProFTPD

Danke für den Link! Ich bin zwar schon auf dieses Modul gestoßen, jedoch auf nicht sehr seriös wirkenden Seiten.

Hmm, hier nochmal ich.

Habe mir das Modul angesehen, jedoch keien Möglichkeit gefunden, es in den laufenden proftpd einzubauen.
Neu kompilieren möchte ich das Ding eig. nicht, denn
1) never touch a running system, wer weiß, wie viele Stunden ich wieder verliere. Ich sitze gerade STUNDEN beim Wechsel von Asterisk 1.6.0 auf Asterisk 1.6.2, weil die alten Konfig nicht gehen und die netcup-Server kein Dahd erlauben.
2) Möchte ich den proftpd-Server gerne weiter über die Paketverwaltung aptitude updaten und ggf. deinstallieren können. Ich mag diese rumliegenden Sources nicht und der Updatevorgang gestaltet sich teilweise doch recht komplex (s. auch mein Asterisk, zuvor habe ich nämlich ein Update versucht in der Hoffnung, dass app_confbridge implementiert wurde).

Hmm, ich habe es eben probiert, es wird jedoch keine mod_clamav.SO erzeugt, die dann in /usr/lib/proftpd/ passen würde.
Leider habe ich auf dem Gebiet des Kompilierens so gut wie kein Plan. Ein "./configure, make menuconfig, make, make install" kriege ich noch hin, das war es aber auch schon fast.

Ich werde wohl doch den proftpd rausschmeißen und ersetzen müssen.

Boa, nun bin ich völlig verwirrt.

• Im Modulordner finde ich lediglich Dateien mit der Endung .SO
• In der modules.conf des proftpd finde ich nur die Endung .C
• Und du bietest mir nun Module mit der Endung .O an

Häh?
Ich bin zu blöde dafür.

Ja, eben.
Aber nun habe ich gerade auch noch gesehen, dass man bei den mod_clamav genau wie bei allen anderen Modulen eine .C-Datei einbinden soll.
Allerdings finde ich nirgendwo im System diese .C-Dateien, lediglich die .SO-Dateien.

Dass die .SO-Dateien und .O-Dateien vom Typ her identisch sind, mag stimmen. Aber wo sind die .C-Dateien, die proftpd in der Config erwartet?

IfModule mod_clamav.c>
 ClamAV on
 ClamLocalSocket /tmp/clamd
</IfModule>

:/usr/lib/proftpd# ls
mod_ban.so          mod_dynmasq.so    mod_ldap.so      mod_quotatab_file.so    mod_quotatab_sql.so  mod_rewrite.so    mod_sql_mysql.so     mod_wrap.so        mod_wrap2_sql.so
mod_clamav.o        mod_facl.so       mod_load.so      mod_quotatab_ldap.so    mod_radius.so        mod_site_misc.so  mod_sql_postgres.so  mod_wrap2.so       mod_xfer.o
mod_ctrls_admin.so  mod_ifsession.so  mod_quotatab.so  mod_quotatab_radius.so  mod_ratio.so         mod_sql.so        mod_tls.so           mod_wrap2_file.so

:/tmp/tmp/proftpd-1.3.2/modules# ls
Makefile     install-sh  mod_auth_file.c  mod_auth_unix.c  mod_cap.o     mod_core.c   mod_delay.c  mod_facl.c   mod_ident.c  mod_log.c  mod_ls.o    mod_xfer.c       module_glue.c
Makefile.in  mod_auth.c  mod_auth_file.o  mod_auth_unix.o  mod_clamav.c  mod_core.o   mod_delay.o  mod_facts.c  mod_ident.o  mod_log.o  mod_site.c  mod_xfer.c.orig  module_glue.c.tmpl
glue.sh      mod_auth.o  mod_auth_pam.c   mod_cap.c        mod_clamav.o  mod_ctrls.c  mod_dso.c    mod_facts.o  mod_lang.c   mod_ls.c   mod_site.o  mod_xfer.o       module_glue.o

Boa, ey, mir wummert der Schädel. Nicht nur den verflixten Asterisk wieder in Gang setzen und das bei massiv lagenden Server (s. anderen Threat), nebenher auch noch zwei Reklamationen, Stress mit Kabel Deutschland, weil die ihre Rechnungen mind. doppelt bezahlt haben wollen, Mathematik lernen fürs Studium und voll die Erkältung dazu.