Care About Your Craft: Why spend your life developing software unless you care about doing it well? - The Pragmatic Programmer
Säkerhetshålet Shell Shock drabbar världens webbservrar
Visa signatur
[QUOTE=Yoshman;14919613]Tycker det fortfarande är exakt samma sak som gäller: Heartbleed var värre av två stora anledningar
en server som blivit utsatt för Hearbleed har normalt sett absolut inga spår av intrånget, man vet helt enkelt inte vilka servers som läckt nycklar, lösenord och annan känslig information
SSL/TLS används i genomsnitt i känsligare system än de system som nu hackas via ShellShock
Skrev däremot att ShellShock är allvarlig, men de som nu blir hackade verkar mest vara de som har idioter som driftar servers och där kan det vara nyttigt att de får se resultatet av att inte applicera de patcher som redan fanns ute när denna artikel skrevs. Patchen som fanns ute då var inte helt komplett, men ingen av de attackvektorer som beskrivs i den artikel du nu länkar till vore möjliga om man applicerat den patchen.
Faktum är att de metoder han presenterar inte ens är möjliga på en opatchad server där /bin/sh inte är bash, så en annan bra sak som antagligen kommer ur detta är att man börjar fundera på vettigheten att använda program som featuremässigt är overkill för sin uppgift. Det är dåligt för prestanda, men det är riktigt dåligt för säkerheten.
ShellShock är ett riktigt allvarligt problem, men mindre än Heartbleed och förstår fortfarande inte hur man kan gradera denna som 10/10. Hur ska man då gradera något som mer eller mindre knäcker VISA/Master-card där man inte redan har en lösning när problemet blir känt? Det är en 10/10.[/QUOTE]
Anledningen till att jag ser Shellshock som minst lika allvarlig som Heartbleed är för att med Heartbleed är det är möjligt att patcha OpenSSL och generera nya nycklar/cert samtidigt som man revokar de gamla.
Med Shellshock kan man ta sig in i system (det räcker ibland med att ta sig igenom första steget för att väl inne har man ofta betydligt mindre säkerhet mellan systemen likt internnät), och därigenom sätta upp nya vägar in/ut (och även dölja sina spår i många fall). Ett exempel var några som maskerat intrånget i ClamAV antivirusuppdateringar. Så även om IT patchar servrarna senare kan det finnas andra vägar in, eller rättare sagt, nästan varenda attempt jag har sett går ut på just detta, att sätta upp nya vägar in efter man väl är inne. Detta är anledningen till att jag tycker detta helt klart är minst i klass med Heartbleed, man vet helt enkelt inte vilka konsekvenser det kan få för möjligheterna tar inte stopp när man väl är inne.
Man kan dividiera om att Heartbleed potentiellt skulle kunna ge access till servrar genom att hitta rätt nycklar osv, men jag ser det som ett mycket mer troligt scenario med Shellshock.
Visa signatur
Citera mig för svar.
Arch Linux
Citera flera
Citera
Mer läsning, attacker mot DoD (Department of Defense i USA) och enorma botnät:
http://www.itnews.com.au/News/396197,first-shellshock-botnet-...
Visa signatur
Citera mig för svar.
Arch Linux
Citera flera
Citera
Som en uppföljning kan jag nämna att webbservrar jag sköter om numera regelbundet blir scannade med "payloads" i form av kommandon som försöker utnyttja just detta hål.
Genom att titta på en sådan scanning så kan man få en uppfattning om existerande programvaror som är utsatta. Det är en del "rena chansningar" för att försöka pricka hemsnickrade skript, men också en del satsningar mot externt producerade ramverk. En snabb lista på sökvägar som scannades från en fjärrdator alldeles nyss:
/CSNews.cgi
/Gozila.cgi
/ROADS/cgi-bin/search.pl
/SetSecurity.shm
/Web_Store/web_store.cgi
/_mt/mt.cgi
/admin.cgi
/administrator.cgi
/agora.cgi
/aktivate/cgi-bin/catgy.cgi
/analyse.cgi
/apps/web/vs_diag.cgi
/b2-include/b2edit.showposts.php
/bandwidth/index.cgi
/bigconf.cgi
/cart.cgi
/cartcart.cgi
/catalog/index.cgi
/ccbill/whereami.cgi
/cgi-bin-sdb/printenv
/cgi-bin/
/cgi-bin/%2f/admin.html
/cgi-bin/.cobalt/alert/service.cgi
/cgi-bin/.cobalt/message/message.cgi
/cgi-bin/.cobalt/siteUserMod/siteUserMod.cgi
/cgi-bin/.namazu.cgi
/cgi-bin/14all-1.1.cgi
/cgi-bin/14all.cgi
/cgi-bin/AT-admin.cgi
/cgi-bin/AT-generate.cgi
/cgi-bin/AnyBoard.cgi
/cgi-bin/BBS/bbs_forum.cgi
/cgi-bin/CSMailto.cgi
/cgi-bin/CSMailto/CSMailto.cgi
/cgi-bin/Count.cgi
/cgi-bin/FileSeek.cgi
/cgi-bin/FileSeek2.cgi
/cgi-bin/FormHandler.cgi
/cgi-bin/FormMail.cgi
/cgi-bin/ICuGI/EST/blast_detail.cgi
/cgi-bin/ImageFolio/admin/admin.cgi
/cgi-bin/MachineInfo
/cgi-bin/YaBB/YaBB.cgi
/cgi-bin/a1disp3.cgi
/cgi-bin/a1stats/a1disp3.cgi
/cgi-bin/a1stats/a1disp4.cgi
/cgi-bin/add_ftp.cgi
/cgi-bin/addbanner.cgi
/cgi-bin/adduser.cgi
/cgi-bin/admin.cgi
/cgi-bin/admin.html
/cgi-bin/admin.pl
/cgi-bin/admin/admin.cgi
/cgi-bin/admin/setup.cgi
/cgi-bin/adminhot.cgi
/cgi-bin/adminwww.cgi
/cgi-bin/af.cgi
/cgi-bin/aglimpse.cgi
/cgi-bin/alienform.cgi
/cgi-bin/architext_query.cgi
/cgi-bin/astrocam.cgi
/cgi-bin/auction/auction.cgi
/cgi-bin/auktion.cgi
/cgi-bin/ax-admin.cgi
/cgi-bin/ax.cgi
/cgi-bin/axs.cgi
/cgi-bin/badmin.cgi
/cgi-bin/banner.cgi
/cgi-bin/bannereditor.cgi
/cgi-bin/bb-ack.sh
/cgi-bin/bb-hist.sh
/cgi-bin/bb-histlog.sh
/cgi-bin/bb-hostsvc.sh
/cgi-bin/bb-rep.sh
/cgi-bin/bb-replog.sh
/cgi-bin/bbs_forum.cgi
/cgi-bin/bigconf.cgi
/cgi-bin/bizdb1-search.cgi
/cgi-bin/blog/mt-check.cgi
/cgi-bin/blog/mt-load.cgi
/cgi-bin/bnbform.cgi
/cgi-bin/book.cgi
/cgi-bin/boozt/admin/index.cgi
/cgi-bin/bsguest.cgi
/cgi-bin/bslist.cgi
/cgi-bin/build.cgi
/cgi-bin/bulk/bulk.cgi
/cgi-bin/c_download.cgi
/cgi-bin/cached_feed.cgi
/cgi-bin/cachemgr.cgi
/cgi-bin/calendar/index.cgi
/cgi-bin/cartmanager.cgi
/cgi-bin/cbmc/forums.cgi
/cgi-bin/ccvsblame.cgi
/cgi-bin/cgforum.cgi
/cgi-bin/cgi.cgi
/cgi-bin/cgi_process
/cgi-bin/classified.cgi
/cgi-bin/classifieds.cgi
/cgi-bin/classifieds/classifieds.cgi
/cgi-bin/classifieds/index.cgi
/cgi-bin/commandit.cgi
/cgi-bin/commerce.cgi
/cgi-bin/common/listrec.pl
/cgi-bin/compatible.cgi
/cgi-bin/csChatRBox.cgi
/cgi-bin/csGuestBook.cgi
/cgi-bin/csLiveSupport.cgi
/cgi-bin/csNews.cgi
/cgi-bin/csNewsPro.cgi
/cgi-bin/csPassword.cgi
/cgi-bin/csPassword/csPassword.cgi
/cgi-bin/csSearch.cgi
/cgi-bin/csv_db.cgi
/cgi-bin/cvsblame.cgi
/cgi-bin/cvslog.cgi
/cgi-bin/cvsquery.cgi
/cgi-bin/cvsqueryform.cgi
/cgi-bin/day5datacopier.cgi
/cgi-bin/day5datanotifier.cgi
/cgi-bin/db_manager.cgi
/cgi-bin/dbman/db.cgi
/cgi-bin/dcforum.cgi
/cgi-bin/dfire.cgi
/cgi-bin/diagnose.cgi
/cgi-bin/dig.cgi
/cgi-bin/directorypro.cgi
/cgi-bin/download.cgi
/cgi-bin/emu/html/emumail.cgi
/cgi-bin/emumail.cgi
/cgi-bin/emumail/emumail.cgi
/cgi-bin/enter.cgi
/cgi-bin/environ.cgi
/cgi-bin/ezadmin.cgi
/cgi-bin/ezboard.cgi
/cgi-bin/ezman.cgi
/cgi-bin/ezshopper/loadpage.cgi
/cgi-bin/ezshopper/search.cgi
/cgi-bin/ezshopper2/loadpage.cgi
/cgi-bin/ezshopper3/loadpage.cgi
/cgi-bin/faqmanager.cgi
/cgi-bin/finger.cgi
/cgi-bin/firmwarecfg
/cgi-bin/flexform.cgi
/cgi-bin/fom.cgi
/cgi-bin/fom/fom.cgi
/cgi-bin/gH.cgi
/cgi-bin/gbadmin.cgi
/cgi-bin/gbook/gbook.cgi
/cgi-bin/generate.cgi
/cgi-bin/getdoc.cgi
/cgi-bin/gm-authors.cgi
/cgi-bin/gm-cplog.cgi
/cgi-bin/gm.cgi
/cgi-bin/guestbook.cgi
/cgi-bin/handler
/cgi-bin/handler.cgi
/cgi-bin/handler/netsonar
/cgi-bin/hello
/cgi-bin/hitview.cgi
/cgi-bin/hsx.cgi
/cgi-bin/html2chtml.cgi
/cgi-bin/html2wml.cgi
/cgi-bin/htsearch.cgi
/cgi-bin/icat
/cgi-bin/if/admin/nph-build.cgi
/cgi-bin/ikonboard/help.cgi
/cgi-bin/imageFolio.cgi
/cgi-bin/infosrch.cgi
/cgi-bin/jammail.pl
/cgi-bin/journal.cgi
/cgi-bin/lastlines.cgi
/cgi-bin/loadpage.cgi
/cgi-bin/log-reader.cgi
/cgi-bin/login.cgi
/cgi-bin/logit.cgi
/cgi-bin/lookwho.cgi
/cgi-bin/lwgate.cgi
/cgi-bin/magiccard.cgi
/cgi-bin/mail/emumail.cgi
/cgi-bin/mail/nph-mr.cgi
/cgi-bin/maillist.cgi
/cgi-bin/mailnews.cgi
/cgi-bin/main.cgi
/cgi-bin/main_menu.pl
/cgi-bin/man.sh
/cgi-bin/mini_logger.cgi
/cgi-bin/mmstdod.cgi
/cgi-bin/moin.cgi
/cgi-bin/mojo/mojo.cgi
/cgi-bin/mrtg.cgi
/cgi-bin/mt-static/mt-check.cgi
/cgi-bin/mt-static/mt-load.cgi
/cgi-bin/mt/mt-check.cgi
/cgi-bin/mt/mt-load.cgi
/cgi-bin/musicqueue.cgi
/cgi-bin/myguestbook.cgi
/cgi-bin/netauth.cgi
/cgi-bin/netpad.cgi
/cgi-bin/newsdesk.cgi
/cgi-bin/nph-emumail.cgi
/cgi-bin/nph-exploitscanget.cgi
/cgi-bin/nph-publish.cgi
/cgi-bin/nph-test.cgi
/cgi-bin/pagelog.cgi
/cgi-bin/pbcgi.cgi
/cgi-bin/perlshop.cgi
/cgi-bin/pfdispaly.cgi
/cgi-bin/pfdisplay.cgi
/cgi-bin/phf.cgi
/cgi-bin/photo/manage.cgi
/cgi-bin/photo/protected/manage.cgi
/cgi-bin/php
/cgi-bin/php-cgi
/cgi-bin/php.cgi
/cgi-bin/php4
/cgi-bin/php5
/cgi-bin/pollit/Poll_It_SSI_v2.0.cgi
/cgi-bin/pollssi.cgi
/cgi-bin/powerup/r.cgi
/cgi-bin/printenv
/cgi-bin/probecontrol.cgi
/cgi-bin/profile.cgi
/cgi-bin/publisher/search.cgi
/cgi-bin/quickstore.cgi
/cgi-bin/quizme.cgi
/cgi-bin/r.cgi
/cgi-bin/ratlog.cgi
/cgi-bin/register.cgi
/cgi-bin/replicator/webpage.cgi/
/cgi-bin/responder.cgi
/cgi-bin/robadmin.cgi
/cgi-bin/robpoll.cgi
/cgi-bin/sbcgi/sitebuilder.cgi
/cgi-bin/scoadminreg.cgi
/cgi-bin/search
/cgi-bin/search.cgi
/cgi-bin/search/search.cgi
/cgi-bin/sendform.cgi
/cgi-bin/shop.cgi
/cgi-bin/shopper.cgi
/cgi-bin/shopplus.cgi
/cgi-bin/showcheckins.cgi
/cgi-bin/simplestguest.cgi
/cgi-bin/simplestmail.cgi
/cgi-bin/smartsearch.cgi
/cgi-bin/smartsearch/smartsearch.cgi
/cgi-bin/snorkerz.bat
/cgi-bin/snorkerz.cmd
/cgi-bin/sojourn.cgi
/cgi-bin/spin_client.cgi
/cgi-bin/start.cgi
/cgi-bin/status
/cgi-bin/status/status.cgi
/cgi-bin/store.cgi
/cgi-bin/store/agora.cgi
/cgi-bin/store/index.cgi
/cgi-bin/survey.cgi
/cgi-bin/talkback.cgi
/cgi-bin/technote/main.cgi
/cgi-bin/test-cgi
/cgi-bin/test.cgi
/cgi-bin/test/test.cgi
/cgi-bin/test2.pl
/cgi-bin/testing_whatever
/cgi-bin/tidfinder.cgi
/cgi-bin/tigvote.cgi
/cgi-bin/title.cgi
/cgi-bin/traffic.cgi
/cgi-bin/tree.php
/cgi-bin/troops.cgi
/cgi-bin/ttawebtop.cgi/
/cgi-bin/ultraboard.cgi
/cgi-bin/upload.cgi
/cgi-bin/urlcount.cgi
/cgi-bin/viewcvs.cgi
/cgi-bin/viralator.cgi
/cgi-bin/virgil.cgi
/cgi-bin/vote.cgi
/cgi-bin/vpasswd.cgi
/cgi-bin/w3mman2html.cgi
/cgi-bin/way-board.cgi
/cgi-bin/way-board/way-board.cgi
/cgi-bin/webbbs.cgi
/cgi-bin/webcart/webcart.cgi
/cgi-bin/webdist.cgi
/cgi-bin/webif.cgi
/cgi-bin/webmail/html/emumail.cgi
/cgi-bin/webmap.cgi
/cgi-bin/webspirs.cgi
/cgi-bin/whois.cgi
/cgi-bin/whois/whois.cgi
/cgi-bin/whois_raw.cgi
/cgi-bin/wrap
/cgi-bin/wwwboard.cgi.cgi
/cgi-bin/zml.cgi
/cgi-mod/index.cgi
/cgi-sys/
/cgi-sys/FormMail-clone.cgi
/cgi-sys/addalink.cgi
/cgi-sys/defaultwebpage.cgi
/cgi-sys/domainredirect.cgi
/cgi-sys/entropybanner.cgi
/cgi-sys/entropysearch.cgi
/cgi-sys/helpdesk.cgi
/cgi-sys/mchat.cgi
/cgi-sys/randhtml.cgi
/cgi-sys/realhelpdesk.cgi
/cgi-sys/realsignup.cgi
/cgi-sys/suspendedpage.cgi
/cgis/wwwboard/wwwboard.cgi
/cgistart
/connector.cgi
/cp/rac/nsManager.cgi
/create_release.sh
/csPassword.cgi
/dana-na/auth/url_default/welcome.cgi
/dcadmin.cgi
/dcboard.cgi
/dcforum.cgi
/dcforum/dcforum.cgi
/debug.cgi
/details.cgi
/download.cgi
/edittag/edittag.cgi
/emumail.cgi
/enter_bug.cgi
/ez2000/ezadmin.cgi
/ez2000/ezboard.cgi
/ez2000/ezman.cgi
/fcgi-bin/echo
/fcgi-bin/echo2
/gitweb.cgi
/gitweb/
/gitweb/gitweb.cgi
/hitmatic/analyse.cgi
/hndUnblock.cgi
/html/cgi-bin/cgicso
/info.cgi
/left.cgi
/login.cgi
/mailview.cgi
/main.cgi
/megabook/admin.cgi
/ministats/admin.cgi
/mods/apage/apage.cgi
/musicqueue.cgi
/ncbook.cgi
/newpro.cgi
/newsletter.sh
/oem_webstage/cgi-bin/oemapp_cgi
/parse_xml.cgi
/photo/manage.cgi
/photodata/manage.cgi
/process_bug.cgi
/pub/english.cgi
/quikmail/nph-emumail.cgi
/quikstore.cgi
/redirects/redir.cgi
/reviews/newpro.cgi
/sample01.cgi
/sample02.cgi
/sample03.cgi
/sample04.cgi
/sampleposteddata.cgi
/scancfg.cgi
/servers/link.cgi
/setpasswd.cgi
/shop/member_html.cgi
/shop/normal_html.cgi
/siteUserMod.cgi
/site_searcher.cgi
/submit.cgi
/sys-cgi
/technote/print.cgi
/template.cgi
/test.cgi
/tmUnblock.cgi
/upload.cgi
/userreg.cgi
/users/scripts/submit.cgi
/webtools/bonsai/ccvsblame.cgi
/webtools/bonsai/cvsblame.cgi
/webtools/bonsai/cvslog.cgi
/webtools/bonsai/cvsquery.cgi
/webtools/bonsai/cvsqueryform.cgi
/webtools/bonsai/showcheckins.cgi
/wwwadmin.cgi
/wwwboard.cgi
/wwwboard/wwwboard.cgi
/xul/
Dold text
Även om alla dessa adresser inte av nöden är sårbara idag så kan det säkert finnas enstaka tidigare problematiska versioner av dessa i omlopp.
Visa signatur
Nu med kortare användarnamn, men fortfarande bedövande långa inlägg.
Citera flera
Citera
Kom åter att tänka på denna nyhetstråd när jag såg artikeln Shellshock: Breaking Bash [Linux Voice]. För den som är intresserad av tekniken bakom hålet så erbjuder de en preparerad sårbar virtuell maskin och visar hur man kan experimentera med olika attackytor.
Har man gjort så lite som någon enstaka systemuppdatering senaste året så bör man vara skyddad, givetvis, men det är fortfarande fritt fram att lära sig av problemet och hur det initialt uppstod.
Visa signatur
Nu med kortare användarnamn, men fortfarande bedövande långa inlägg.
Citera flera
Citera
Hårdvara
- Igår Bang & Olufsen vrider tillbaka klockan – återlanserar cd-spelare från 1996 28
- Igår Uppdatering till MSI Claw ökar prestandan med upp till 150 procent 14
- Igår Testlabbet byter ut skärmarna – nioårig trotjänare pensioneras 22
- Igår Veckans fråga: Drar du nytta av DLSS i spel? 60
- Igår Apple måste öppna Ipad i EU 34
Mjukvara
Datorkomponenter
Ljud, bild och kommunikation
- Folk blir uppringda från mitt nummer – men det är inte jag7
- Bästa kreditkort [Samlingstråd]890
- Hur funkar e-sim?9
- Datorn inte längre klarar kraven för uppgradering till Windows 116
- Vilket mobil abonnemang6
- Bang & Olufsen vrider tillbaka klockan – återlanserar cd-spelare från 199628
- Veckans fråga: Drar du nytta av DLSS i spel?60
- Den enda Arm-baserade laptopen med "officiell" Linux11
- Bahnhofs VD ratar stoppet mot fulstreaming40
- USB-C Hubb med on/off knappar?11
- Köpes Sökes billig AM4 Ryzen processor
- Säljes Triangle 5.0 + Yamaha RX-V6A
- Säljes Acer 24" Predator XB241YU QHD 144 Hz G-Sync
- Säljes Nybyggd dator
- Säljes RX 5600 XT, Ryzen 5 3600, AOC 24" I2481FXH
- Köpes Söker moderkort Z590 itx
- Säljes ASUS ROG STRIX RS200 riser-kabel 240mm
- Säljes Rensning: Nätaggregat, Kylare, Chassi, 4G Routers & Otestade Komponenter
- Säljes Asus Strix 4070 Ti Super OC
- Säljes 2600x, GTX 1070, ROG Strix B450-E, 16GB ddr4 + chassi
- Bang & Olufsen vrider tillbaka klockan – återlanserar cd-spelare från 199628
- Uppdatering till MSI Claw ökar prestandan med upp till 150 procent14
- Testlabbet byter ut skärmarna – nioårig trotjänare pensioneras22
- Bahnhofs VD ratar stoppet mot fulstreaming40
- Veckans fråga: Drar du nytta av DLSS i spel?60
- Aktivister stämmer Open AI för brott mot GDPR26
- Miljonböter för Razers RGB-munskydd26
- Apple måste öppna Ipad i EU34
- Spela Fallout-variant i smyg i Excel14
- EU förbjuder svaga lösenord i smarta hemmet-prylar49