The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Выявлено вредоносное ПО Mayhem, поражающее серверы под управлением Linux и FreeBSD

19.07.2014 23:53

Группа исследователей из компании Яндекс опубликовала результаты анализа нового вредоносного ПО Mayhem, реализующего аналогичные Windows-ботам средства для серверов на базе Linux и FreeBSD, которые могут работать без получения расширенных привилегий, довольствуясь правами пользователя хостинга, полученными после проникновения через эксплуатацию уязвимостей в web-приложениях. Исследование проведено на основе изучения работы двух управляющих серверов, обслуживающих примерно 1400 инфицированных вредоносным ПО узлов ботнета.

Mayhem примечателен сложной и гибко расширяемой архитектурой. После успешной эксплуатации уязвимости в web-приложении, на сервер загружается PHP-скрипт, производящий инициализацию бота, который выполнен в форме разделяемой библиотеки libworker.so, обладающей достаточно богатой функциональностью. Интерес представляет метод запуска вредоносного ПО: выполняется штатная системная утилита /usr/bin/host с выставленным флагом LD_PRELOAD=libworker.so, при этом в библиотеке libworker.so переопределяется функция exit(). Используемые в процессе работы Mayhem файлы и плагины сохраняются в файле ".sd0", внутри которого создаётся образ ФС в формате FAT (применяется открытая библиотека fat_filelib).

Поддерживается приём и отправка команд, работа в роли управляющего сервера или узла ботнета, подключение плагинов, реализованных в форме разделяемых библиотек. Например, доступны плагины для выполнения таких действий, как сканирование сайтов на наличие уязвимостей, которые могут привести к выполнению стороннего PHP-кода, сбор данных о сайтах под управлением WordPress, подбор паролей методом перебора для сайтов под управлением популярных систем управления контентом и панелей управления, подбор параметров FTP-аккаунтов, извлечение различной информации со страниц сайтов.

В статье также приводятся некоторые выводы, обобщающие текущие тенденции:

  • Ботнеты, создаваемые на основе web-серверов, нашли собственную нишу монетизации, связанную с перебросом трафика, применением грязных методов поисковой оптимизации и использованием загрузок для организации атак.
  • Web-серверы более интересны для атаки, чем обычные пользовательские ПК, так как они очень редко перезагружаются, имеют более качественное сетевое соединение и обладают более высокой вычислительной мощностью.
  • На серверах хостинга часто не используются средства автоматической установки обновлений, многие web-мастеры и системные администраторы устанавливают обновления вручную с последующей проверкой корректности работы инфраструктуры.
  • Для типового сайта качественное сопровождение является дорогим удовольствием и web-мастеры не всегда уделяют внимание отслеживанию появления новых выпусков с устранением уязвимостей. Подобная практика приводит к существованию в Сети большого числа уязвимых web-серверов, которые легко атаковать и использовать в ботнете.
  • В *nix-системах не распространено использование антивирусов. Web-мастеры не желают тратить время на изучение руководств по использованию различных систем упреждающей защиты и проверки систем.


  1. Главная ссылка к новости (http://www.theregister.co.uk/2...)
  2. OpenNews: Зафиксирован самораспространяющийся червь, поражающий серверы Apache Tomcat
  3. OpenNews: Выявлена атака по внедрению бэкдора на web-серверы с lighttpd и nginx
  4. OpenNews: На серверах с Cpanel выявлен бэкдор, интегрированный в исполняемый файл Apache httpd
  5. OpenNews: В Сети зафиксированы серверы, распространяющие вредоносное ПО через троянский модуль Apache
  6. OpenNews: Выявлено вредоносное ПО для Linux-серверов, оформленное в форме модуля к http-серверу Apache
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/40231-security
Ключевые слова: security
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (76) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (-), 00:27, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Endgame: Singularity is a simulation of a true AI. Go from computer to computer, pursued by the entire world. Keep hidden, and you might have a chance.
    :)
     
     
  • 2.49, Аноним (-), 21:20, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    О да :)
    Ждём apotheosis? ;)
     

  • 1.2, metallica (ok), 00:38, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Молодцы яндексоиды. Ждём инфу о хотя бы одной молвари, реализованной
    как kernel thread. (в наличии таковых не сомневаемся)
     
     
  • 2.55, pavlinux (ok), 23:47, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Бабушка, бабушка... А ну нас в детском садике одмины - дябилы, они разрешают юзерам LD_PRELOAD!!!

    ---
    ~$ LD_PRELOAD=/usr/lib/libtcmalloc.so
    bash: LD_PRELOAD: доступная только на чтение переменная


    ~$ grep LD_PRELOAD /etc/profile
    LD_PRELOAD=""
    declare  -r LD_PRELOAD;
    export LD_PRELOAD

     
     
  • 3.60, Andrey Mitrofanov (?), 09:32, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Бабушка, бабушка... А ну нас в детском садике одмины - дябилы, они
    > разрешают юзерам LD_PRELOAD!!!

    --Да, внучёк, таких только могила исправит. Ишь ты, "declare -r"?! Они b man-bash-то не читывали про --noprofile, и про субшелы не рубят. Охохо...

    > ~$ grep LD_PRELOAD /etc/profile
    > LD_PRELOAD=""
    > declare  -r LD_PRELOAD;
    > export LD_PRELOAD

     
     
  • 4.78, pavlinux (ok), 20:21, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • –2 +/
    >> Бабушка, бабушка... А ну нас в детском садике одмины - дябилы, они
    >> разрешают юзерам LD_PRELOAD!!!
    > --Да, внучёк, таких только могила исправит. Ишь ты, "declare -r"?! Они b
    > man-bash-то не читывали про --noprofile,

    $ bash --noprofile
    $ unset LD_PRELOAD
    bash: unset: LD_PRELOAD: не могу сбросить: доступно только для чтения variable

    > и про субшелы не рубят.

    в субшелах тоже запрещать.

     
     
  • 5.83, Andrey Mitrofanov (?), 20:55, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> и про субшелы не рубят.
    > в субшелах тоже запрещать.

    Тогда забыл ещё bashrc прогрепить, ага.

    $ bash --login --noprofile_

    Начинай баши патчить. И ld.so.

     
     
  • 6.86, pavlinux (ok), 23:16, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >>> и про субшелы не рубят.
    >> в субшелах тоже запрещать.
    > Тогда забыл ещё bashrc прогрепить, ага.
    > $ bash --login --noprofile_
    > Начинай баши патчить. И ld.so.

    Хрен вам!
    ~$ alias bash='_bash() { bash --;}; _bash'; # куда всунуть глобальный алиас, сам знаешь
    ~$ bash --login --noprofile
    ~$ unset LD_PRELOAD
    bash: unset: LD_PRELOAD: не могу сбросить: доступно только для чтения variable

     
     
  • 7.89, Andrey Mitrofanov (?), 09:54, 22/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Хрен вам!

    $ bash --version
    $ exit
    $ /bin/bash --version
    GNU bash, version 4.2.37(1)-release (i486-pc-linux-gnu)
    Copyright (C) 2011 Free Software Foundation, Inc.
    License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>

    This is free software; you are free to change and redistribute it.
    There is NO WARRANTY, to the extent permitted by law.
    $ _

     
     
  • 8.90, pavlinux (ok), 22:44, 23/07/2014 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Это что было После exit у тя logout должен случиться ... текст свёрнут, показать
     
  • 3.65, Аноним (-), 10:53, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > разрешают юзерам LD_PRELOAD!!!

    Я не понял, а как ты это запретить можешь? Технически, переменные окружения - некий кусок данных в памяти. Процесс может перефигачивать окружение отдаваемое child как захочет. Как ты представляешь себе выборочное readonly на один из "key=value" в едином блоке памяти? Мне интересно, право :)

     
     
  • 4.79, pavlinux (ok), 20:29, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Мне интересно, право :)

    Да, ты прав, ты смешно - man mprotect

     
     
  • 5.93, Аноним (-), 00:33, 04/08/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Да, ты прав, ты смешно - man mprotect

    Не поможет: parent процесс полностью формирует child-у окружение, в том числе передавая блок переменных окружения. Внезапное западло, да? То-есть если parent отдаст child-у какое-то г@вно - вот так по простому, child придется это съесть.

    Но кстати одно решение таки нашлось. Вот, любуйся: http://habrahabr.ru/post/212825/

    Ядерный модуль перехватывает execve, сканит наличие при этом в окружении LD_PRELOAD и выпиливает оный КЕМ, если он найден :). Вот такой вот костылище. А ты - mprotect. Ага, щаззз. Что ты там протектить собрался и почему это будет работать? :)

     
  • 3.71, Аноним (-), 11:05, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Если это дефолтное поведение, то называл дiбилами создаталей всех дистрибутивов и Линуса лично.
     
     
  • 4.80, pavlinux (ok), 20:37, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Если это дефолтное поведение,

    Нет. Дефолтный Linux - дырявее венды

     
     
  • 5.94, Аноним (-), 00:34, 04/08/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Нет. Дефолтный Linux - дырявее венды

    Да не звизди, в винде тоже прелоад есть, при том 99% админов даже не знает где.

     
  • 4.92, bOOster (?), 08:45, 26/07/2014 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А че Линус дистрибутив собирает???
     
  • 3.91, XoRe (ok), 11:42, 25/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Бабушка, бабушка... А ну нас в детском садике одмины - дябилы, они
    > разрешают юзерам LD_PRELOAD!!!

    Уважаемый, вы сами придумали, что зловред запускает bash, а потом набросились на небезопасность bash :)

     

  • 1.3, lucentcode (ok), 01:07, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • –4 +/
    Встречал файлы .sd0, и подозрительные процессы host, запущенные от имени пользователя, от имени которого запускались крипты. Похоже, эта зараза стала довольно распространённой.
     
     
     
     
     
    Часть нити удалена модератором

  • 5.36, Адекват (ok), 14:59, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Ну почему же дурь, если его архитектура изначально предполагает защиту в виде ра... большой текст свёрнут, показать
     
     
  • 6.50, Аноним (-), 22:18, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • –3 +/
    >[оверквотинг удален]
    > В линуксах что пользовательские процессы, что серверные работают со своими id и
    > друг на друга повлиять не могут, если конечно админ сам не
    > сделает особые разрешения.
    > А архитектура винды предполагает что и пользователь и все серверные процессы будут
    > работать от админа.
    > Был ли за всю историю линуксов эксплоит дающи ремоте рут, ну или
    > хотя бы ремоте шел с привилегиями простого пользователя ?
    > Как у вас там в вашей голубоватой недооси run as уже умеет
    > запускать процессы от имени других пользователей без ручного ввода паролей ?
    > Сколько там процентов до уровня sudo линуксового ?

    Sudo это окаменевшее гогно мамонта. Мсье слыхал о RBAC?

     
     
  • 7.61, Аноним (-), 10:31, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Мсье слыхал о RBAC?

    Слыхали, как же. Много кластерфака на ровном месте. Энтерпрайзно и все такое. И мало какой админ в результате понимает эффективный набор прав, действующий в системе.

     
  • 7.64, arisu (ok), 10:52, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Sudo это окаменевшее гогно мамонта. Мсье слыхал о RBAC?

    а мсье в курсе, что чем сложнее системы защиты, тем больше потенциальная площадь атаки? система ugo, конечно, не идеальна, но при правильном применении весьма эффективна. надо только избавиться от винды в голове.

     
     
  • 8.66, Аноним (-), 10:55, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    В системе ugo по крайней мере можно без поллитры понять кому и что можно ... текст свёрнут, показать
     
  • 6.85, Аноним (-), 22:52, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Был ли за всю историю линуксов эксплоит дающи ремоте рут, ну или хотя бы ремоте шел с привилегиями простого пользователя ?
    был и не один для proftpd
     

  • 1.4, lucentcode (ok), 01:10, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • –6 +/
    Не правда, в *nix-системах народ использует свободное антивирусное ПО для поиска вирусов и малвари. К сожалению, оно способно обнаружить не более 70 процентов вредоносов.
     
     
  • 2.11, maestromony (ok), 03:17, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +7 +/
    Имхо антивирь в линуксе нужен только на серверах с файлопомойкой. Да и то, чтобы не распространять заразу, загруженную туда другими пользователями, а не для самозащиты...
     
  • 2.15, YetAnotherOnanym (ok), 09:14, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Свободное антивирусное ПО - это Clam? Увы, там тоже не всё радужно. Несколько раз отправлял им скринлокеры, снятые с хомячьих машин, и файлы, скачанные по ссылкам из СМС - могла пройти неделя, пока оно окажется в сигнатурах, причём даже после перехода под крыло Цыски.
     
     
  • 3.42, 123 (??), 17:20, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Да уж, Clam почти на все exe-шники ругается. При том, что остальные антивири ничего не находят.
    Любой запаковщик - это уже "подозрение".
     
     
  • 4.44, arisu (ok), 17:38, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > Да уж, Clam почти на все exe-шники ругается.

    правильно делает. всё равно софт под винду — это или троян, или такой быдлокод, что лучше бы уж был троян.

     
  • 4.51, Аноним (-), 22:18, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Да уж, Clam почти на все exe-шники ругается. При том, что остальные
    > антивири ничего не находят.
    > Любой запаковщик - это уже "подозрение".

    Как настроишь.

     
  • 4.95, Аноним (-), 00:35, 04/08/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Любой запаковщик - это уже "подозрение".

    ЧСХ, не так уж и необоснованно...

     

  • 1.5, arisu (ok), 01:56, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    LD_PRELOAD. от юзера. на рутовую софтину. из рабочего каталога юзера. те, у кого это работает, должны пойти на удобрения.

    p.s. «на софтину, принадлежащую руту», само собой, а не на suid.

     
     
  • 2.9, Аноним (-), 02:55, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Да вы батенька наркоман. Еще suid-бит с passwd снимите, дабы безопасней было.
     
     
  • 3.16, arisu (ok), 10:48, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > Да вы батенька наркоман.

    а, ну да: те, у кого эксплойт не работает — те наркоманы. и вообще — не хотят со всеми в ногу идти, сволочи! прогрессивный мир давно предоставляет базу для прогрессивных эксплойтов, а эти ретрограды… и поцтеринга вдобавок не любят!

     
  • 3.18, arisu (ok), 10:53, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +5 +/
    а теперь, если тебе не сложно, будь любезен, поясни: зачем пользователю www права на использование LD_PRELOAD? тем более на бинари, которые принадлежат не ему? ну и да, чтобы два раза не вставать: права на запуск бинарей не с системного раздела ему тоже не нужны.

    впрочем, судя по твоему удивлению, ты считаешь, что Реальные Пацаны всегда сидят под рутом. иначе какие же они Реальные Пацаны — ежели позволяют дурацкой системе ограничения ставить!

     
     
  • 4.27, Нанобот (ok), 13:07, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • –1 +/
    btw: а разве есть способ отключить LD_PRELOAD? (а то гугл что-то мне ничего толком не выдаёт...)
     
     
  • 5.28, arisu (ok), 13:16, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > btw: а разве есть способ отключить LD_PRELOAD? (а то гугл что-то мне
    > ничего толком не выдаёт...)

    для setcap'нутых бинарей отключается; при помощи патча к ld.so ограничивается. запрещение похапэ-скриптам запускать бинари убивает проблему на корню (или ограничение при помощи safe_mode_exec_dir, в exec_dir вместо бинарей — скрипты, которые делают unset LD_PRELOAD).

     
  • 5.37, Адекват (ok), 15:07, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > btw: а разве есть способ отключить LD_PRELOAD? (а то гугл что-то мне
    > ничего толком не выдаёт...)

    если я не ошибасюь, то LD_PRELOAD это пререгатива чиста шеллов, типа bash, sh, вызов которых в PHP делается через shell_exec, exec Что есть функции которые можно отключить.

     
     
  • 6.45, Нанобот (ok), 18:33, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Да нет, LD_PRELOAD - фича откуда-то из недр libc
     
     
  • 7.46, arisu (ok), 18:36, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Да нет, LD_PRELOAD - фича откуда-то из недр libc

    а если конкретно — из ld.so, он же «dynamic linker», он же «interpreter».

     
  • 6.62, Аноним (-), 10:39, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > если я не ошибасюь, то LD_PRELOAD это пререгатива чиста шеллов

    Щаззззз! Это фича загрузчика shared libs и переменные ВНЕЗАПНО можно выставлять не только через сpaные скриптики, но и например запустив программу и отдав чайлду ДРУГОЕ окружение. Улыбайтесь, вас скрывают снятой камерой.

     
  • 2.67, Аноним (-), 11:00, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > LD_PRELOAD. от юзера. на рутовую софтину. из рабочего каталога юзера.

    А какая разница какая софтина и каталог? Переменные - блок памяти с всяким гэ, отдаваемый процессу по execve и тому подобным. И или уж тебе можно процесс запускать (и ты можешь ему впарить окружение), или уж нельзя (тогда впаривание окружения не состоится за отсутствием процесса).

    > p.s. «на софтину, принадлежащую руту», само собой, а не на suid.

    Как максимум юзера можно совсем обуть на запуск таких софтин. Правда не понятен пойнт обувания юзера на host. От чего это защищает? Сам по себе фокус с LD_PRELOAD и таким странным перехватом управления достаточно индифферентен к тому какую программу использовать.

    Я что-то где-то упускаю или не понял какую-то мысль?

     
     
  • 3.70, arisu (ok), 11:05, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    >> LD_PRELOAD. от юзера. на рутовую софтину. из рабочего каталога юзера.
    > А какая разница какая софтина и каталог?

    как видишь по сплоету — большая.

    > уж тебе можно процесс запускать (и ты можешь ему впарить окружение),
    > или уж нельзя (тогда впаривание окружения не состоится за отсутствием процесса).

    прикинь, а процесс таки проходит стадию динамического связывания. и эта стадия делается отдельной юзермодной софтиной. которая и обрабатывает LD_PRELOAD. и которую — внезапно! — можно пропатчить на предмет дополнительных проверок. вот такой вот сюрприз.

     
     
  • 4.96, Аноним (-), 00:40, 04/08/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > как видишь по сплоету — большая.

    Да хрен там. Спроси у гугли про azazel например. Милая такая вещичка, на гитхабе лежит. И врядли ты порадуешься если такую поюзают против тебя. Добра под LD_PRELOAD есть достаточно много и пути там не сильно роялят. Разве что если путь смонтирован с noexec, или типа того - там может и роялит, вот это не помню.

    > — можно пропатчить на предмет дополнительных проверок.

    Блин, спасибо капитан. И как это я сам не догадался?!

    > вот такой вот сюрприз.

    Вон там орлы с хабрашвабры фундаментальнее поступили - в ядерном модуле перехватили execve и выпиливают там LD_PRELOAD из окружения, если он был :).

     
     
  • 5.99, arisu (ok), 12:36, 04/08/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Вон там орлы с хабрашвабры фундаментальнее поступили - в ядерном модуле перехватили
    > execve и выпиливают там LD_PRELOAD из окружения, если он был :).

    я ни секунды не сомневался, что хабра — сборище дегенератов.

     

  • 1.10, ano (??), 03:11, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Я такое года 3-4 назад разбирал. У них руки только сейчас дошли что ли?
     
     
  • 2.52, Аноним (-), 22:19, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • –3 +/
    > Я такое года 3-4 назад разбирал. У них руки только сейчас дошли
    > что ли?

    Пингвин - крупная нелетающая птица-тормозок.

     
     
  • 3.63, Аноним (-), 10:40, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Пингвин - крупная нелетающая птица-тормозок.

    А мальчику Билли форточку разбили.

     

  • 1.12, cmp (ok), 05:34, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > В *nix-системах не распространено использование антивирусов. Web-мастеры не желают тратить время на изучение руководств по использованию различных систем упреждающей защиты и проверки систем.

    если ( Web-мастеры != админы сервера ), то это логично, иначе если (использование различных систем упреждающей защиты и проверки систем == true), то имеем геморой, когда что-то не работает и выяснение "почему" сводится к проверке не одного (/var/log/httpd/error.log), а множества логов, что для Web-мастера превращается в ад из десятков окон с отладчиками сайта, сайтом в разных браузерах, кучей консолей с отладочной инфой системы, окна с мануалами системы и тд, ну бред же.

    Если студент взял подработку и за 3000р в месяц нарисовал и админит сайт для конторы которой больше и не надо, то вирусня на сайте - урок и студенту, и конторе.

    Если контора держит штатного админа за 25000 в месяц, который и 50 машин админит, и принтеры, и антивирь на хостах, и все-все-все, то вирусня на сайте, опять же звоночек, который в общем-то никак не характеризует админа.

    Т. е. всех все устраивает.

    /*****************/

    Лет 10 уже смотрю на атаки ботнетов в логах, режутся элементарно - по критерию частого попадания на 404 ошибку - ip в черный список, или запросы страниц без запросов связанны css файлов. Если боимся распределенных атак, то вместо ip используем ASку, но это уже для взрослых дяденек с ресурсами и своими распределенными сетями, пару лет назад Корея лютовала, сейчас как дела не в курсе, но было бы желание, а возможности найдутся.

     
  • 1.13, Аноним (-), 05:58, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Где можно скачать? Или опять на*издеть нап*здели, а попользоваться не дадут?!
     
     
  • 2.14, гость (?), 07:31, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > Где можно скачать? Или опять на*издеть нап*здели, а попользоваться не дадут?!

    Выставь в интернет уязвимую систему - само закачаться должно.

     
     
  • 3.39, Аноним (-), 15:44, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Ок, а есть туториал как сделать уязвимую систему? И через сколько времени она закачается? А то больно уж попахивает пиаром антивирусов......
     
     
  • 4.47, freehck (ok), 18:38, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Ок, а есть туториал как сделать уязвимую систему?

    О, к сожалению, этого-то у нас лопатой грузить можно... :(

     
  • 4.59, Аноним (59), 09:20, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    пароль для root/admin из словаря распространённых слов длиной до 4-6 букв
     
     
  • 5.72, тазовод (?), 11:17, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    эээ
    это и есть используемый этим софтом способ "поражения вредоносным ПО серверов под линукс"??
     

  • 1.20, trdm (ok), 11:47, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > Web-мастеры не желают тратить время на изучение руководств по использованию различных систем упреждающей защиты и проверки систем.

    Можно парочку руководств на русском?

     
     
  • 2.53, Аноним (-), 22:19, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    >> Web-мастеры не желают тратить время на изучение руководств по использованию различных систем упреждающей защиты и проверки систем.
    > Можно парочку руководств на русском?

    Учи английский. Пригодится.

     

  • 1.22, bOOster (?), 11:55, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    securelevel+JAIL и Linux остается со зловредом один на один.
     
  • 1.34, Адекват (ok), 14:50, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Ну и причем тут линукс ? тут "при чем" PHP и идиоты админы.
    Эта зараза еще более опасна чем все думают. так как она порожает ВООБЩЕ все ос, на основе которых крутятся сайты на PHP.
    Оно умеет делать shell_exec или что-то вроде того ? Так как вроде почти во всех веб-серверах, в их настройках как раз такие функции запрещены.
     
     
  • 2.43, anonymous (??), 17:32, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Ну и причем тут линукс ?

    А что, на винде можно сделать LD_PRELOAD=libworker.so /usr/bin/host ? Это пускается на линуксе и гадит, а значит линукс более чем причём.

    И вообще, линукс != голактеко безопасносте.

     
     
  • 3.56, pavlinux (ok), 23:54, 20/07/2014 [^] [^^] [^^^] [ответить]  
  • +2 +/
    >> Ну и причем тут линукс ?
    > А что, на винде можно сделать LD_PRELOAD=libworker.so /usr/bin/host ?

    Как два байта об асфальт
    http://en.wikipedia.org/wiki/DLL_Injection
    http://support.microsoft.com/kb/197571

     
  • 3.69, Аноним (-), 11:05, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > А что, на винде можно сделать LD_PRELOAD=libworker.so /usr/bin/host ?

    На винде техника подгрузки либ используется уже наверное лет 15...

     
     
  • 4.74, arisu (ok), 11:29, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > На винде техника подгрузки либ используется уже наверное лет 15...

    а работает до сих пор как говно и только с мегакостылями. потому что аналога dlsym(name, RTLD_NEXT) тупо нет.

     
     
  • 5.97, Аноним (-), 00:42, 04/08/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > а работает до сих пор как гoвно и только с мегакостылями. потому
    > что аналога dlsym(name, RTLD_NEXT) тупо нет.

    Ну ты же понимаешь, что хакеры не гордые - и так схавают. Это разработчики там всякие плюются. А хаксорам - бабло побеждает зло, сам понимаешь.

     
  • 3.73, Аноним (-), 11:28, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • –2 +/
    На винде другие методы. У меня штатно программа пишет и в системную папку любой версии винды, и в реестр, затем из "оффисных" приложений вызывает код из DLL на Си (местами со вставками на ассемблере), который в принципе может с пользовательским компьютером делать что угодно (в приложении без вреда, естественно), и ни одна система безопасности даже не пикнула (в том числе при установке программы) при любом уровне безопасности винды и оффиса.
     

  • 1.54, Аноним (-), 22:59, 20/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    SELinux помогает против него?
     
     
  • 2.58, anonymous (??), 08:13, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Да.
     

  • 1.57, Какаянахренразница (ok), 07:27, 21/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    Дайте скачать! А то один трёп во всех новостях...
     
     
  • 2.76, Аноним (-), 11:32, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Дайте скачать! А то один трёп во всех новостях...

    Потому что треп и есть ... типа секретных патентов Микрософта. И профинансирован теми же, очевидно. Только зачем?? Неужели кто-то побежит от Linux с денюжкой за Виндоуз после этих публичных рыданий?

     
     
  • 3.77, arisu (ok), 11:38, 21/07/2014 [^] [^^] [^^^] [ответить]  
  • +1 +/
    нет, просто говноэникейщики ломанутся «антивирусы под линукс» покупать, безуспешно пытаясь компенсировать этим отсутствие мозгов.
     

  • 1.81, Аноним (-), 20:48, 21/07/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > а сервер загружается PHP-скрипт

    Ну вы понели.

     
     
  • 2.87, Аноним (-), 07:17, 22/07/2014 [^] [^^] [^^^] [ответить]  
  • +/
    У Web 2.0 две беды - PHP и JavaScript.
     
     
  • 3.88, arisu (ok), 09:50, 22/07/2014 [^] [^^] [^^^] [ответить]  
  • +1 +/
    у веб-два-ноль нет никаких бед, потому что никакого веб-два-ноль тоже нет.
     
     
  • 4.98, Аноним (-), 00:43, 04/08/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > у веб-два-ноль нет никаких бед, потому что никакого веб-два-ноль тоже нет.

    И промышленная революция - миф :). Слава робо^W ишакам!

     
     
  • 5.100, arisu (ok), 12:39, 04/08/2014 [^] [^^] [^^^] [ответить]  
  • +/
    ок. показывай этот самый 2.0. с интересом посмотрю.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру