Изпечатай

[mrowcp]

Ако все още някой не е разбрал, няма да е лошо да се патчне Гледам, че са ме тествали, но интересно, че бях уязвим, а не са ръчкали нищо:

89.207.135.125 - - [25/Sep/2014:13:57:34 +0300] "GET /cgi-sys/defaultwebpage.cgi HTTP/1.0" 404 312 "-" "() { :;}; /bin/ping -c 1 198.101.206.138"

[satir]

много ми е интересно ти как разбра, че са те преслушали

[wfw]

Защото

Код:

env x='() { :;}; echo vulnerable' bash -c 'echo hello'

това е проверка дали ти е уязвим BASH.
Има някакво сходство.

[zxz]

http://bealers.com/2014/09/serious-bash-exploit-fix/ С 2 линии код се оправя всичко, стига сега да не се отвори нещо друго  .

[satir]

аз обнових bash, а сега съм пуснал Tiger security и скрипта проверява... да видим какво ще открие, ако открие неща. преди време на убунту имах някакъв скрипт, който не помня какъв беше и ме известяваше за промени по файловете и системата, ама сигурноста не ми е първа сила.
едит: това с 'х' проблем ли е или не?

Код

GeSHi (Bash):
satir@satir-desktop:~$ env x='() { :;}; echo vulnerable' bash -c 'echo hello'
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
hello

[zxz]

Изглежда, че дава грешка при декларирането, което трябва да става по принцип, т.е всичко е наред.

[wfw]

За по-стари версии на Linux, които нямат security updates, може да се компилира BASH:

https://gist.github.com/mattwhite/86de50d30134129e44ef

Това е за Debian 5, гледах аналогични и за Ubuntu 8.04

edit: скрипта е доста прост. Изтегля BASH, изтегля и прилага пачовете и компилира и инсталира. Аз лично изпълнявах стъпка по стъпка, защото не вярвам много на скриптове, които нямат елементарна проверка дали нещата не са върнали грешка.

[4096bits]

Аз пък искам да си компилирам bash така, че да имам /dev/tcp устройство.

[mrowcp]

От известно време наблюдавайки made in china скенерите и ми се иска да пусна един Honeypot.Ако някой е правил подобно нещо, ще помоля да даде малко инфо какво е ползвал (дистро, пакети и т.н.).Ако gat3way прочете поста и има нещо в предвид, ще го помоля и той да се включи
Мисля, че на доста хора ще им е интересно.
 
P.S. Всъщност проблема е доста по-голям и не е фикснат на 100% с този пач

[go_fire]

Е как гърнето с мед на Гейта е просто легендарно, макар бая старичко. Но там ставаше въпрос за съвсем друго, той садистично се гавреше с резняците.

[gat3way]

Ми пусни си де, колко му е - една виртуална машина и гледай сеир. Аз бих го направил ако имах повече свободно време, сега е много сгодно време за такива забави, защото малоумните келемета още не знаят за проблема, та ще ти се набият по-интелигентните келемета и там ще видиш по-интересни изпълнения и ще събереш по-интересен материал за анализиране.

[satir]

както споменах, пуснах Tiger Security script, който поне половин час рови къде ли не, и като приключи просто конзолата се затвори, без да ми даде никакво обяснение сега, като си проверявам пощата, а аз редовно си проверявам пощата във /var/spool/mail/satir    и виждам, че тигъра ми е писал съобщение съдържащо двайсетина предупреждения. да им обръщам ли внимание или просто да кажа - епа, доОобре!

Код

GeSHi (Bash):
From 	"Tiger automatic auditor at satir-desktop" <root@satir-desktop>
To 	root@satir-desktop
Date 	25/09/2014 20:00
Subject 	Tiger Auditing Report for satir-desktop
Message contents	
 
# Checking listening processes 
--WARN-- [lin003w] The process `asterisk' is listening on socket 2000 (TCP on every
interface) is run by asterisk. 
--WARN-- [lin003w] The process `asterisk' is listening on socket 4520 (UDP on every
interface) is run by asterisk. 
--WARN-- [lin003w] The process `asterisk' is listening on socket 4569 (UDP on every
interface) is run by asterisk. 
--WARN-- [lin003w] The process `asterisk' is listening on socket 5000 (UDP on every
interface) is run by asterisk. 
--WARN-- [lin003w] The process `asterisk' is listening on socket 5060 (UDP on every
interface) is run by asterisk. 
--WARN-- [lin003w] The process `avahi-daemon' is listening on socket 53120 (UDP on
every interface) is run by avahi. 
--WARN-- [lin003w] The process `avahi-daemon' is listening on socket 5353 (UDP on
every interface) is run by avahi. 
--WARN-- [lin002i] The process `cups-browsed' is listening on socket 631 (UDP) on
every interface. 
--WARN-- [lin002i] The process `dhclient' is listening on socket 13154 (UDP) on every
interface. 
--WARN-- [lin002i] The process `dhclient' is listening on socket 68 (UDP) on every
interface. 
--WARN-- [lin003w] The process `git-daemon' is listening on socket 9418 (TCP on every
interface) is run by gitdaemon. 
--WARN-- [lin003w] The process `icecast2' is listening on socket 8000 (TCP on every
interface) is run by icecast2. 
--WARN-- [lin002i] The process `miniserv.pl' is listening on socket 10000 (TCP) on
every interface. 
--WARN-- [lin002i] The process `miniserv.pl' is listening on socket 10000 (UDP) on
every interface. 
--WARN-- [lin002i] The process `minissdpd' is listening on socket 1900 (UDP) on every
interface. 
--WARN-- [lin002i] The process `nmbd' is listening on socket 137 (UDP) on every interface.
--WARN-- [lin002i] The process `nmbd' is listening on socket 138 (UDP) on every interface.
--WARN-- [lin003w] The process `ntpd' is listening on socket 123 (UDP on every interface)
is run by ntp. 
--WARN-- [lin003w] The process `ntpd' is listening on socket 123 (UDP on 192.168.0.102
interface) is run by ntp. 
--WARN-- [lin003w] The process `oidentd' is listening on socket 113 (TCP on every
interface) is run by oident. 
--WARN-- [lin003w] The process `pulseaudio' is listening on socket 34052 (TCP on
every interface) is run by kamen. 
--WARN-- [lin003w] The process `pulseaudio' is listening on socket 37646 (TCP on
every interface) is run by kamen. 
--WARN-- [lin003w] The process `pulseaudio' is listening on socket 9875 (UDP on 224.0.0.56
interface) is run by kamen. 
--WARN-- [lin003w] The process `pulseaudio' is listening on socket 16001 (TCP on
every interface) is run by satir. 
--WARN-- [lin003w] The process `pulseaudio' is listening on socket 4713 (TCP on every
interface) is run by satir. 
--WARN-- [lin003w] The process `pulseaudio' is listening on socket 9875 (UDP on 224.0.0.56
interface) is run by satir. 
--WARN-- [lin003w] The process `rpc.statd' is listening on socket 49005 (TCP on every
interface) is run by statd. 
--WARN-- [lin003w] The process `rpc.statd' is listening on socket 50118 (UDP on every
interface) is run by statd. 
--WARN-- [lin002i] The process `rpcbind' is listening on socket 111 (TCP) on every
interface. 
--WARN-- [lin002i] The process `rpcbind' is listening on socket 1022 (UDP) on every
interface. 
--WARN-- [lin002i] The process `rpcbind' is listening on socket 111 (UDP) on every
interface. 
--WARN-- [lin002i] The process `smbd' is listening on socket 139 (TCP) on every interface.
--WARN-- [lin002i] The process `smbd' is listening on socket 445 (TCP) on every interface.
--WARN-- [lin002i] The process `sshd' is listening on socket 22 (TCP) on every interface.

[wfw]

Някой по-горе се оказа прав. Пача не е бил така добър, сега чакаме нов

Package        : bash
CVE ID         : CVE-2014-7169
Debian Bug     : 762760 762761

Tavis Ormandy discovered that the patch applied to fix CVE-2014-6271
released in DSA-3032-1 for bash, the GNU Bourne-Again Shell, was
incomplete and could still allow some characters to be injected into
another environment (CVE-2014-7169). With this update prefix and suffix
for environment variable names which contain shell functions are added
as hardening measure.

Additionally two out-of-bounds array accesses in the bash parser are
fixed which were revealed in Red Hat's internal analysis for these
issues and also independently reported by Todd Sabin.

For the stable distribution (wheezy), these problems have been fixed in
version 4.2+dfsg-0.1+deb7u3.

We recommend that you upgrade your bash packages.

[satir]

а ако смениме shell-a какво се случва?

[4096bits]

И аз това предложих, но никой не каза нищо.

satir, можеш ли да ми пуснеш pm с линкчета, относно VOIP , че искам да си пусна едно сървърче за лични нужди?