Säkerhetshålet Shell Shock drabbar världens webbservrar

2014-10-07 08:52

Permalänk

Yoshman

Datavetare ★

Plats: Stockholm
Registrerad: Jun 2011

●

Skrivet av Dimman:

Het läsning för din del såhär några veckor efteråt:
http://webcache.googleusercontent.com/search?q=cache:I8s8KmZh...

Gå till inlägget

Tycker det fortfarande är exakt samma sak som gäller: Heartbleed var värre av två stora anledningar

en server som blivit utsatt för Hearbleed har normalt sett absolut inga spår av intrånget, man vet helt enkelt inte vilka servers som läckt nycklar, lösenord och annan känslig information
SSL/TLS används i genomsnitt i känsligare system än de system som nu hackas via ShellShock

Skrev däremot att ShellShock är allvarlig, men de som nu blir hackade verkar mest vara de som har idioter som driftar servers och där kan det vara nyttigt att de får se resultatet av att inte applicera de patcher som redan fanns ute när denna artikel skrevs. Patchen som fanns ute då var inte helt komplett, men ingen av de attackvektorer som beskrivs i den artikel du nu länkar till vore möjliga om man applicerat den patchen.

Faktum är att de metoder han presenterar inte ens är möjliga på en opatchad server där /bin/sh inte är bash, så en annan bra sak som antagligen kommer ur detta är att man börjar fundera på vettigheten att använda program som featuremässigt är overkill för sin uppgift. Det är dåligt för prestanda, men det är riktigt dåligt för säkerheten.

ShellShock är ett riktigt allvarligt problem, men mindre än Heartbleed och förstår fortfarande inte hur man kan gradera denna som 10/10. Hur ska man då gradera något som mer eller mindre knäcker VISA/Master-card där man inte redan har en lösning när problemet blir känt? Det är en 10/10.

Visa signatur

Care About Your Craft: Why spend your life developing software unless you care about doing it well? - The Pragmatic Programmer

Rapportera Redigera

Citera flera Citera

2014-10-07 11:14

Permalänk

Dimman

Medlem ★

Plats: Lund
Registrerad: Jun 2002

●

[QUOTE=Yoshman;14919613]Tycker det fortfarande är exakt samma sak som gäller: Heartbleed var värre av två stora anledningar

en server som blivit utsatt för Hearbleed har normalt sett absolut inga spår av intrånget, man vet helt enkelt inte vilka servers som läckt nycklar, lösenord och annan känslig information
SSL/TLS används i genomsnitt i känsligare system än de system som nu hackas via ShellShock

Skrev däremot att ShellShock är allvarlig, men de som nu blir hackade verkar mest vara de som har idioter som driftar servers och där kan det vara nyttigt att de får se resultatet av att inte applicera de patcher som redan fanns ute när denna artikel skrevs. Patchen som fanns ute då var inte helt komplett, men ingen av de attackvektorer som beskrivs i den artikel du nu länkar till vore möjliga om man applicerat den patchen.

Faktum är att de metoder han presenterar inte ens är möjliga på en opatchad server där /bin/sh inte är bash, så en annan bra sak som antagligen kommer ur detta är att man börjar fundera på vettigheten att använda program som featuremässigt är overkill för sin uppgift. Det är dåligt för prestanda, men det är riktigt dåligt för säkerheten.

ShellShock är ett riktigt allvarligt problem, men mindre än Heartbleed och förstår fortfarande inte hur man kan gradera denna som 10/10. Hur ska man då gradera något som mer eller mindre knäcker VISA/Master-card där man inte redan har en lösning när problemet blir känt? Det är en 10/10.[/QUOTE]
Anledningen till att jag ser Shellshock som minst lika allvarlig som Heartbleed är för att med Heartbleed är det är möjligt att patcha OpenSSL och generera nya nycklar/cert samtidigt som man revokar de gamla.

Med Shellshock kan man ta sig in i system (det räcker ibland med att ta sig igenom första steget för att väl inne har man ofta betydligt mindre säkerhet mellan systemen likt internnät), och därigenom sätta upp nya vägar in/ut (och även dölja sina spår i många fall). Ett exempel var några som maskerat intrånget i ClamAV antivirusuppdateringar. Så även om IT patchar servrarna senare kan det finnas andra vägar in, eller rättare sagt, nästan varenda attempt jag har sett går ut på just detta, att sätta upp nya vägar in efter man väl är inne. Detta är anledningen till att jag tycker detta helt klart är minst i klass med Heartbleed, man vet helt enkelt inte vilka konsekvenser det kan få för möjligheterna tar inte stopp när man väl är inne.

Man kan dividiera om att Heartbleed potentiellt skulle kunna ge access till servrar genom att hitta rätt nycklar osv, men jag ser det som ett mycket mer troligt scenario med Shellshock.

Visa signatur

Citera mig för svar.
Arch Linux

Rapportera Redigera

Citera flera Citera

2014-10-09 12:23

Permalänk

Dimman

Medlem ★

Plats: Lund
Registrerad: Jun 2002

●

Mer läsning, attacker mot DoD (Department of Defense i USA) och enorma botnät:

http://www.itnews.com.au/News/396197,first-shellshock-botnet-...

Visa signatur

Citera mig för svar.
Arch Linux

Rapportera Redigera

Citera flera Citera

2015-04-09 10:34

Permalänk

phz

Hedersmedlem ★

Registrerad: Okt 2002

●

Som en uppföljning kan jag nämna att webbservrar jag sköter om numera regelbundet blir scannade med "payloads" i form av kommandon som försöker utnyttja just detta hål.

Genom att titta på en sådan scanning så kan man få en uppfattning om existerande programvaror som är utsatta. Det är en del "rena chansningar" för att försöka pricka hemsnickrade skript, men också en del satsningar mot externt producerade ramverk. En snabb lista på sökvägar som scannades från en fjärrdator alldeles nyss:

/CSNews.cgi
/Gozila.cgi
/ROADS/cgi-bin/search.pl
/SetSecurity.shm
/Web_Store/web_store.cgi
/_mt/mt.cgi
/admin.cgi
/administrator.cgi
/agora.cgi
/aktivate/cgi-bin/catgy.cgi
/analyse.cgi
/apps/web/vs_diag.cgi
/b2-include/b2edit.showposts.php
/bandwidth/index.cgi
/bigconf.cgi
/cart.cgi
/cartcart.cgi
/catalog/index.cgi
/ccbill/whereami.cgi
/cgi-bin-sdb/printenv
/cgi-bin/
/cgi-bin/%2f/admin.html
/cgi-bin/.cobalt/alert/service.cgi
/cgi-bin/.cobalt/message/message.cgi
/cgi-bin/.cobalt/siteUserMod/siteUserMod.cgi
/cgi-bin/.namazu.cgi
/cgi-bin/14all-1.1.cgi
/cgi-bin/14all.cgi
/cgi-bin/AT-admin.cgi
/cgi-bin/AT-generate.cgi
/cgi-bin/AnyBoard.cgi
/cgi-bin/BBS/bbs_forum.cgi
/cgi-bin/CSMailto.cgi
/cgi-bin/CSMailto/CSMailto.cgi
/cgi-bin/Count.cgi
/cgi-bin/FileSeek.cgi
/cgi-bin/FileSeek2.cgi
/cgi-bin/FormHandler.cgi
/cgi-bin/FormMail.cgi
/cgi-bin/ICuGI/EST/blast_detail.cgi
/cgi-bin/ImageFolio/admin/admin.cgi
/cgi-bin/MachineInfo
/cgi-bin/YaBB/YaBB.cgi
/cgi-bin/a1disp3.cgi
/cgi-bin/a1stats/a1disp3.cgi
/cgi-bin/a1stats/a1disp4.cgi
/cgi-bin/add_ftp.cgi
/cgi-bin/addbanner.cgi
/cgi-bin/adduser.cgi
/cgi-bin/admin.cgi
/cgi-bin/admin.html
/cgi-bin/admin.pl
/cgi-bin/admin/admin.cgi
/cgi-bin/admin/setup.cgi
/cgi-bin/adminhot.cgi
/cgi-bin/adminwww.cgi
/cgi-bin/af.cgi
/cgi-bin/aglimpse.cgi
/cgi-bin/alienform.cgi
/cgi-bin/architext_query.cgi
/cgi-bin/astrocam.cgi
/cgi-bin/auction/auction.cgi
/cgi-bin/auktion.cgi
/cgi-bin/ax-admin.cgi
/cgi-bin/ax.cgi
/cgi-bin/axs.cgi
/cgi-bin/badmin.cgi
/cgi-bin/banner.cgi
/cgi-bin/bannereditor.cgi
/cgi-bin/bb-ack.sh
/cgi-bin/bb-hist.sh
/cgi-bin/bb-histlog.sh
/cgi-bin/bb-hostsvc.sh
/cgi-bin/bb-rep.sh
/cgi-bin/bb-replog.sh
/cgi-bin/bbs_forum.cgi
/cgi-bin/bigconf.cgi
/cgi-bin/bizdb1-search.cgi
/cgi-bin/blog/mt-check.cgi
/cgi-bin/blog/mt-load.cgi
/cgi-bin/bnbform.cgi
/cgi-bin/book.cgi
/cgi-bin/boozt/admin/index.cgi
/cgi-bin/bsguest.cgi
/cgi-bin/bslist.cgi
/cgi-bin/build.cgi
/cgi-bin/bulk/bulk.cgi
/cgi-bin/c_download.cgi
/cgi-bin/cached_feed.cgi
/cgi-bin/cachemgr.cgi
/cgi-bin/calendar/index.cgi
/cgi-bin/cartmanager.cgi
/cgi-bin/cbmc/forums.cgi
/cgi-bin/ccvsblame.cgi
/cgi-bin/cgforum.cgi
/cgi-bin/cgi.cgi
/cgi-bin/cgi_process
/cgi-bin/classified.cgi
/cgi-bin/classifieds.cgi
/cgi-bin/classifieds/classifieds.cgi
/cgi-bin/classifieds/index.cgi
/cgi-bin/commandit.cgi
/cgi-bin/commerce.cgi
/cgi-bin/common/listrec.pl
/cgi-bin/compatible.cgi
/cgi-bin/csChatRBox.cgi
/cgi-bin/csGuestBook.cgi
/cgi-bin/csLiveSupport.cgi
/cgi-bin/csNews.cgi
/cgi-bin/csNewsPro.cgi
/cgi-bin/csPassword.cgi
/cgi-bin/csPassword/csPassword.cgi
/cgi-bin/csSearch.cgi
/cgi-bin/csv_db.cgi
/cgi-bin/cvsblame.cgi
/cgi-bin/cvslog.cgi
/cgi-bin/cvsquery.cgi
/cgi-bin/cvsqueryform.cgi
/cgi-bin/day5datacopier.cgi
/cgi-bin/day5datanotifier.cgi
/cgi-bin/db_manager.cgi
/cgi-bin/dbman/db.cgi
/cgi-bin/dcforum.cgi
/cgi-bin/dfire.cgi
/cgi-bin/diagnose.cgi
/cgi-bin/dig.cgi
/cgi-bin/directorypro.cgi
/cgi-bin/download.cgi
/cgi-bin/emu/html/emumail.cgi
/cgi-bin/emumail.cgi
/cgi-bin/emumail/emumail.cgi
/cgi-bin/enter.cgi
/cgi-bin/environ.cgi
/cgi-bin/ezadmin.cgi
/cgi-bin/ezboard.cgi
/cgi-bin/ezman.cgi
/cgi-bin/ezshopper/loadpage.cgi
/cgi-bin/ezshopper/search.cgi
/cgi-bin/ezshopper2/loadpage.cgi
/cgi-bin/ezshopper3/loadpage.cgi
/cgi-bin/faqmanager.cgi
/cgi-bin/finger.cgi
/cgi-bin/firmwarecfg
/cgi-bin/flexform.cgi
/cgi-bin/fom.cgi
/cgi-bin/fom/fom.cgi
/cgi-bin/gH.cgi
/cgi-bin/gbadmin.cgi
/cgi-bin/gbook/gbook.cgi
/cgi-bin/generate.cgi
/cgi-bin/getdoc.cgi
/cgi-bin/gm-authors.cgi
/cgi-bin/gm-cplog.cgi
/cgi-bin/gm.cgi
/cgi-bin/guestbook.cgi
/cgi-bin/handler
/cgi-bin/handler.cgi
/cgi-bin/handler/netsonar
/cgi-bin/hello
/cgi-bin/hitview.cgi
/cgi-bin/hsx.cgi
/cgi-bin/html2chtml.cgi
/cgi-bin/html2wml.cgi
/cgi-bin/htsearch.cgi
/cgi-bin/icat
/cgi-bin/if/admin/nph-build.cgi
/cgi-bin/ikonboard/help.cgi
/cgi-bin/imageFolio.cgi
/cgi-bin/infosrch.cgi
/cgi-bin/jammail.pl
/cgi-bin/journal.cgi
/cgi-bin/lastlines.cgi
/cgi-bin/loadpage.cgi
/cgi-bin/log-reader.cgi
/cgi-bin/login.cgi
/cgi-bin/logit.cgi
/cgi-bin/lookwho.cgi
/cgi-bin/lwgate.cgi
/cgi-bin/magiccard.cgi
/cgi-bin/mail/emumail.cgi
/cgi-bin/mail/nph-mr.cgi
/cgi-bin/maillist.cgi
/cgi-bin/mailnews.cgi
/cgi-bin/main.cgi
/cgi-bin/main_menu.pl
/cgi-bin/man.sh
/cgi-bin/mini_logger.cgi
/cgi-bin/mmstdod.cgi
/cgi-bin/moin.cgi
/cgi-bin/mojo/mojo.cgi
/cgi-bin/mrtg.cgi
/cgi-bin/mt-static/mt-check.cgi
/cgi-bin/mt-static/mt-load.cgi
/cgi-bin/mt/mt-check.cgi
/cgi-bin/mt/mt-load.cgi
/cgi-bin/musicqueue.cgi
/cgi-bin/myguestbook.cgi
/cgi-bin/netauth.cgi
/cgi-bin/netpad.cgi
/cgi-bin/newsdesk.cgi
/cgi-bin/nph-emumail.cgi
/cgi-bin/nph-exploitscanget.cgi
/cgi-bin/nph-publish.cgi
/cgi-bin/nph-test.cgi
/cgi-bin/pagelog.cgi
/cgi-bin/pbcgi.cgi
/cgi-bin/perlshop.cgi
/cgi-bin/pfdispaly.cgi
/cgi-bin/pfdisplay.cgi
/cgi-bin/phf.cgi
/cgi-bin/photo/manage.cgi
/cgi-bin/photo/protected/manage.cgi
/cgi-bin/php
/cgi-bin/php-cgi
/cgi-bin/php.cgi
/cgi-bin/php4
/cgi-bin/php5
/cgi-bin/pollit/Poll_It_SSI_v2.0.cgi
/cgi-bin/pollssi.cgi
/cgi-bin/powerup/r.cgi
/cgi-bin/printenv
/cgi-bin/probecontrol.cgi
/cgi-bin/profile.cgi
/cgi-bin/publisher/search.cgi
/cgi-bin/quickstore.cgi
/cgi-bin/quizme.cgi
/cgi-bin/r.cgi
/cgi-bin/ratlog.cgi
/cgi-bin/register.cgi
/cgi-bin/replicator/webpage.cgi/
/cgi-bin/responder.cgi
/cgi-bin/robadmin.cgi
/cgi-bin/robpoll.cgi
/cgi-bin/sbcgi/sitebuilder.cgi
/cgi-bin/scoadminreg.cgi
/cgi-bin/search
/cgi-bin/search.cgi
/cgi-bin/search/search.cgi
/cgi-bin/sendform.cgi
/cgi-bin/shop.cgi
/cgi-bin/shopper.cgi
/cgi-bin/shopplus.cgi
/cgi-bin/showcheckins.cgi
/cgi-bin/simplestguest.cgi
/cgi-bin/simplestmail.cgi
/cgi-bin/smartsearch.cgi
/cgi-bin/smartsearch/smartsearch.cgi
/cgi-bin/snorkerz.bat
/cgi-bin/snorkerz.cmd
/cgi-bin/sojourn.cgi
/cgi-bin/spin_client.cgi
/cgi-bin/start.cgi
/cgi-bin/status
/cgi-bin/status/status.cgi
/cgi-bin/store.cgi
/cgi-bin/store/agora.cgi
/cgi-bin/store/index.cgi
/cgi-bin/survey.cgi
/cgi-bin/talkback.cgi
/cgi-bin/technote/main.cgi
/cgi-bin/test-cgi
/cgi-bin/test.cgi
/cgi-bin/test/test.cgi
/cgi-bin/test2.pl
/cgi-bin/testing_whatever
/cgi-bin/tidfinder.cgi
/cgi-bin/tigvote.cgi
/cgi-bin/title.cgi
/cgi-bin/traffic.cgi
/cgi-bin/tree.php
/cgi-bin/troops.cgi
/cgi-bin/ttawebtop.cgi/
/cgi-bin/ultraboard.cgi
/cgi-bin/upload.cgi
/cgi-bin/urlcount.cgi
/cgi-bin/viewcvs.cgi
/cgi-bin/viralator.cgi
/cgi-bin/virgil.cgi
/cgi-bin/vote.cgi
/cgi-bin/vpasswd.cgi
/cgi-bin/w3mman2html.cgi
/cgi-bin/way-board.cgi
/cgi-bin/way-board/way-board.cgi
/cgi-bin/webbbs.cgi
/cgi-bin/webcart/webcart.cgi
/cgi-bin/webdist.cgi
/cgi-bin/webif.cgi
/cgi-bin/webmail/html/emumail.cgi
/cgi-bin/webmap.cgi
/cgi-bin/webspirs.cgi
/cgi-bin/whois.cgi
/cgi-bin/whois/whois.cgi
/cgi-bin/whois_raw.cgi
/cgi-bin/wrap
/cgi-bin/wwwboard.cgi.cgi
/cgi-bin/zml.cgi
/cgi-mod/index.cgi
/cgi-sys/
/cgi-sys/FormMail-clone.cgi
/cgi-sys/addalink.cgi
/cgi-sys/defaultwebpage.cgi
/cgi-sys/domainredirect.cgi
/cgi-sys/entropybanner.cgi
/cgi-sys/entropysearch.cgi
/cgi-sys/helpdesk.cgi
/cgi-sys/mchat.cgi
/cgi-sys/randhtml.cgi
/cgi-sys/realhelpdesk.cgi
/cgi-sys/realsignup.cgi
/cgi-sys/suspendedpage.cgi
/cgis/wwwboard/wwwboard.cgi
/cgistart
/connector.cgi
/cp/rac/nsManager.cgi
/create_release.sh
/csPassword.cgi
/dana-na/auth/url_default/welcome.cgi
/dcadmin.cgi
/dcboard.cgi
/dcforum.cgi
/dcforum/dcforum.cgi
/debug.cgi
/details.cgi
/download.cgi
/edittag/edittag.cgi
/emumail.cgi
/enter_bug.cgi
/ez2000/ezadmin.cgi
/ez2000/ezboard.cgi
/ez2000/ezman.cgi
/fcgi-bin/echo
/fcgi-bin/echo2
/gitweb.cgi
/gitweb/
/gitweb/gitweb.cgi
/hitmatic/analyse.cgi
/hndUnblock.cgi
/html/cgi-bin/cgicso
/info.cgi
/left.cgi
/login.cgi
/mailview.cgi
/main.cgi
/megabook/admin.cgi
/ministats/admin.cgi
/mods/apage/apage.cgi
/musicqueue.cgi
/ncbook.cgi
/newpro.cgi
/newsletter.sh
/oem_webstage/cgi-bin/oemapp_cgi
/parse_xml.cgi
/photo/manage.cgi
/photodata/manage.cgi
/process_bug.cgi
/pub/english.cgi
/quikmail/nph-emumail.cgi
/quikstore.cgi
/redirects/redir.cgi
/reviews/newpro.cgi
/sample01.cgi
/sample02.cgi
/sample03.cgi
/sample04.cgi
/sampleposteddata.cgi
/scancfg.cgi
/servers/link.cgi
/setpasswd.cgi
/shop/member_html.cgi
/shop/normal_html.cgi
/siteUserMod.cgi
/site_searcher.cgi
/submit.cgi
/sys-cgi
/technote/print.cgi
/template.cgi
/test.cgi
/tmUnblock.cgi
/upload.cgi
/userreg.cgi
/users/scripts/submit.cgi
/webtools/bonsai/ccvsblame.cgi
/webtools/bonsai/cvsblame.cgi
/webtools/bonsai/cvslog.cgi
/webtools/bonsai/cvsquery.cgi
/webtools/bonsai/cvsqueryform.cgi
/webtools/bonsai/showcheckins.cgi
/wwwadmin.cgi
/wwwboard.cgi
/wwwboard/wwwboard.cgi
/xul/

Dold text

Även om alla dessa adresser inte av nöden är sårbara idag så kan det säkert finnas enstaka tidigare problematiska versioner av dessa i omlopp.

Visa signatur

Nu med kortare användarnamn, men fortfarande bedövande långa inlägg.

Rapportera Redigera

Citera flera Citera

2015-12-02 21:02

Permalänk

phz

Hedersmedlem ★

Registrerad: Okt 2002

●

Kom åter att tänka på denna nyhetstråd när jag såg artikeln Shellshock: Breaking Bash [Linux Voice]. För den som är intresserad av tekniken bakom hålet så erbjuder de en preparerad sårbar virtuell maskin och visar hur man kan experimentera med olika attackytor.

Har man gjort så lite som någon enstaka systemuppdatering senaste året så bör man vara skyddad, givetvis, men det är fortfarande fritt fram att lära sig av problemet och hur det initialt uppstod.

Visa signatur

Nu med kortare användarnamn, men fortfarande bedövande långa inlägg.

Rapportera Redigera

Citera flera Citera

Säkerhetshålet Shell Shock drabbar världens webbservrar

Externa nyheter