¿Cómo se puede comprometer este servidor web?

Mientras no configure el servidor usted mismo, no puede estar seguro de que lo que está viendo con ssh sea realmente lo que está sucediendo en el servidor. Al final, su acceso ssh podría ser un honeypot bien construido y nada de lo que vea estará relacionado con la actividad real del servidor.

Incluso si ha configurado el servidor usted mismo, no puede estar seguro, ya que aún existe el BIOS, el firmware en las tarjetas de red, el enrutador entre el cliente y el servidor, etc. Todo esto puede afectar a qué datos se transfieren realmente el cliente, pero todos estos podrían utilizarse para comprometer los datos.

E incluso si ssh muestra el estado correcto del servidor y ningún enrutador, iptables u otros están manipulando los datos proporcionados por el servidor: todavía puede haber un malware en la memoria como Darkleech que afecte lo que realmente se sirve. No lo detectará cuando mire la tabla de procesos y no lo detectará cuando mire los archivos, porque está solo en la memoria del servidor HTTP.

Iptables puede hacer esto sin ninguna dificultad.

Cree una cadena para las direcciones IP de destino y, dentro de esa cadena, modifique el paquete de solicitud entrante para que la solicitud sea para un archivo diferente.

Como alternativa, puede modificar los paquetes salientes para que contengan el archivo de destino en lugar del contenido original de index.html.

Ninguno de los archivos binarios o archivos habrían sido alterados de ninguna manera. El único cambio necesario es en la configuración de iptables en ejecución.

Por supuesto, si tiene ese tipo de acceso, también podría modificar el proceso que realiza la verificación SHA de los archivos y binarios para que devuelva resultados falsos. Podría estar ejecutando IIS en Windows y aún así devolver los hashes SHA para Node en Linux.