Linux Foundation security breach

[drone]

Neko vrijeme nisam previše pazio na svoj sajt napravljen u Joomli i jučer mi je osvanulo ono hacked by... srpski grb i tako... Ništa strašno, imam backup, vratio sam ga relativno brzo, promijenio sve šifre, malo ga osigurao (ali ne dovoljno, vratit će se ovi...). Ne bih ni primjetio jer sam ovih dana bio zaokupljen izgradnjom svog kućnog debian servera, da mi jedan član ovog foruma nije javio.

Ono što je zanimljivo, na naslovnoj stranici sam imao banner "I'll be celebrating 20 years of Linux with The Linux Foundation!". Danas dođem na svoj sajt, nema bannera samo link. Klikom na link (http://www.linuxfoundation.org/) dobije se poruka da su i oni otkrili sigurnosnu rupu i upad, slično kao i kernel.org.

Istina, njih su vjerojatno napali malo opasnije štetočine, ali zanimljiva mi je slučajnost jer i ja promoviram linux na svojim stranicama (iako sam siguran da je samo slučajnost).

Nadam se samo da me neće dočekati nešto slično kad idući put posjetim linux za sve.

[shrike]

Jako zanimljivo. Baš sam htio otići na kernel.org i vidim da je isključena, što me dosta iznenadilo. A da li bi podijelio sa nama svoju stranicu? Ja se baš ovih dana intenzivno bavim selinuxom i imam problema jer je xorg sa unconfined ipak u nemogućnosti se podignuti, tak oda u rebootu za 5 minuta planiram dati execmem=1. sada će me stručnjaci vjerojatno izmlatiti za ovo svetogrđe.

[drone]

Stranica je komercijalna (moja firma), pa mislim da bi bilo protivno pravilima ovog foruma da dajem link. Kad napravim blog, onda...

Nisam neki sys/web admin, pa sad proučavam kako da se zaštitim od script kiddies. Joomla je izgleda relativno ranjiva, a zbog popularnosti, štetočine imaju interesa, slično kao i za wordpress. Savjeti su dobro došli, naravno.

Nego što se tiče napada na linux sajtove, vidim da mi ni update pojedinih arch paketa iz aura ne radi baš zato što su ovi sajtovi u problemima (npr. lib32-avahi).

Kad već spominješ selinux, baš sam namjeravao svoj friški debian serverić staviti u DMZ jer mi ponestaje portova u siemens smeće-routeru, pa onda napraviti neki bolji firewall i sl. međutim, pričekat će

[4ndY]

Nego što se tiče napada na linux sajtove, vidim da mi ni update pojedinih arch paketa iz aura ne radi baš zato što su ovi sajtovi u problemima (npr. lib32-avahi).

Server možeš zaštititi tako da dobro podesiš fw, tako da isključiš sve servise koje ne koristiš, a neke, tipa sshd staviš na visoki port (iznad 1000) i isključiš login preko zaporke, omogućih samo preko private/public keya itd. Kad sve to učiniš, ostaje ti web server, zajedno s popularnim web aplikacijama - najveća potencijalna sigurnosna rupa.

Sam Apache možeš zamijeniti s nekim manje kompleksnim, pa time i sigurnijim web serverom, barem za statički sadržaj (npr. nginx), no vjerojatno ga nećeš moći u potpunosti zamijeniti, stoga je dobro chrootati Apache ali i poduzeti dodatne mjere:
* Modsecurity za Apache - skup pravila koja prepoznaju i blokiraju generičke napade kroz web aplikacije i prepoznaju bilo kakvu čudnu aktivnost (kao fw za web aplikacije),
* Suhosin za PHP - "layer" za PHP koji pokriva česte propuste u php aplikacijama i samom php-u.

Naravno, problem svega ovoga je što to sve treba konfigurirati, a to nije lak posao, pogotovo što se većina popularnih web aplikacija kolje s tim alatima zato što su loše napisane (npr. Joomla pogotovo - ona sama redovito pokazuje malicioznu aktivnost u ovim alatima!).

To je što možeš u startu odmah napraviti, dok bi daljnji koraci bili odbacivanje Joomle/WP-a i ostalih mainstream CMS-ova koji su poznati po svojoj (ne)sigurnosti.

p.s. Pretpostavka je jasno da redovito ažuriraš sve web aplikacije na najnovije verzije

[drone]

Server možeš zaštititi tako da dobro podesiš fw, tako da isključiš sve servise koje ne koristiš, a neke, tipa sshd staviš na visoki port (iznad 1000) i isključiš login preko zaporke, omogućih samo preko private/public keya itd. Kad sve to učiniš, ostaje ti web server, zajedno s popularnim web aplikacijama - najveća potencijalna sigurnosna rupa.

Ako govorimo o kućnom serveru, to je sve izvedivo. ssh sam morao podesiti preko keya jer sam stavio da mi se automatski podiže rtorrent + screen

Sam Apache možeš zamijeniti s nekim manje kompleksnim, pa time i sigurnijim web serverom, barem za statički sadržaj (npr. nginx), no vjerojatno ga nećeš moći u potpunosti zamijeniti, stoga je dobro chrootati Apache ali i poduzeti dodatne mjere:
* Modsecurity za Apache - skup pravila koja prepoznaju i blokiraju generičke napade kroz web aplikacije i prepoznaju bilo kakvu čudnu aktivnost (kao fw za web aplikacije),
* Suhosin za PHP - "layer" za PHP koji pokriva česte propuste u php aplikacijama i samom php-u.

Stavio sam već Apache, ali kasnije sam shvatio da bi bilo bolje staviti nešto manje i brže. Recimo, nisam bio prije čuo za Comanche, djeluje mi jednostavan za podesiti, klikabilan je preko web sučelja
Za Comanche sam čuo na ruTorrent stranicama. ruTorrent je web sučelje za rTorrent, pa sam ga htio isprobati više iz znatiželje nego potrebe.

Suhosin dolazi defaultno u Debianu s apache/php. Ali... maknuo sam ga jer se kolje s phpMyAdminom kojeg koristim.

Naravno, problem svega ovoga je što to sve treba konfigurirati, a to nije lak posao, pogotovo što se većina popularnih web aplikacija kolje s tim alatima zato što su loše napisane (npr. Joomla pogotovo - ona sama redovito pokazuje malicioznu aktivnost u ovim alatima!).

Ma najbolje bi bilo bez tog svega. Znam da ne možeš stisnut i prdnut, obično to loše završi, ali trenutno moram

To je što možeš u startu odmah napraviti, dok bi daljnji koraci bili odbacivanje Joomle/WP-a i ostalih mainstream CMS-ova koji su poznati po svojoj (ne)sigurnosti.

Izgleda da je tako. Ali Joomlu koristim već dugo, pa mi je sad tlaka prelaziti na nešto drugo ili svoje i praviti sajt od početka. Međutim ako ne pomognu neke mjere koje poduzimam, morat ću nešto drugo odabrati. Ne znam kako je s novom 1.6/1.7 Joomlom, ja sam na 1.5.23.

p.s. Pretpostavka je jasno da redovito ažuriraš sve web aplikacije na najnovije verzije

Kad je u pitanju hoster, tu sam naravno ograničen. Ažuriram Joomlu i neke module, pluginove i ekstenzije. Template baš i ne jer sam ga mijenjao, kao i još jedan modul. Nezgodno je kad zaboraviš na neki koji si stavio da bi ga koristio, ali nisi nikad. Vidim da su kod mene iskoristili flash plugin preko kojeg su nekako uploadali skriptu s mp3 ekstenzijom i dalje je skripta obavila ostatak posla - promjena Joomla admin šifre u SQL bazi, brisanje sajta i stavljanje njihove index.html stranice.

U svakom slučaju, hvala na savjetima.

p.s. Vidim da se malo izmiješalo, jer govorio sam i o svom kućnom serveru kojeg mogu mijenjati kako hoću, ali i o sajtu kod hostera gdje imam što imam i gdje su neke stvari ograničene (recimo nemam ssh).

[drade]

Jako zanimljivo. Baš sam htio otići na kernel.org i vidim da je isključena, što me dosta iznenadilo. A da li bi podijelio sa nama svoju stranicu? Ja se baš ovih dana intenzivno bavim selinuxom i imam problema jer je xorg sa unconfined ipak u nemogućnosti se podignuti, tak oda u rebootu za 5 minuta planiram dati execmem=1. sada će me stručnjaci vjerojatno izmlatiti za ovo svetogrđe.

Ako je unutar unconfined_t domene (targeted policy), onda po defaultu pada nazad na DAC. Mozda je u tome problem, tj. mozda u tom grmu lezi zec ?

EDIT:
@drone
Pogledaj si engine-X (ngnix) kao mogucu zamjenu za apache.
+imas zgodan alat nazvanja "fail2ban" pokusaj ga iskoristiti u svoju prednost.

[shrike]

Ako je unutar unconfined_t domene (targeted policy), onda po defaultu pada nazad na DAC. Mozda je u tome problem, tj. mozda u tom grmu lezi zec ?

Kada je selinux isključen, sve radi. xorg proradi (al iparcijalnO) samo u permissive modu. Kada dođem doma pošaljem error poruku pa mi možda možeš pomoći. Jako mi je čudno što ne postoji Xorg.pp ili xserver.pp Koliko sam vidio po greškama, postoji i dosta udev problema (iako mi nije jasno od kuda su).

[dalibor.klobucaric]

obzirom da imam ponešto iskustva sa Joomla CMS-om čak sam se okušao u izradi kojekakvih alata i poboljšanja te mogu na osnovu svog iskustva zaključit da niste potpuno u pravu.

Koliko god da je neki CMS razvikan time je i zajednica veća koja razvija. Stoga odgovorno tvrdim da se CMS da podesiti da bude siguran bez nekih velikih nauka.

Naravno Server kao server (pa čak i apache) nije zaista problem podesiti.

Edit : priča se po selu da linux.com (site koji je jedan od najvećih Joomla CMS powered site) i linuxfoundation.org imaju problem ne samo sa OS-om već i sa networkom.

[pootzko]

dosta dobra zaštita je cloudflare.com koji koristi blackliste projecthoneypota i filtriranje i provjeravanje prometa.. u biti dns se podesi preko njih i cijeli promet ide preko njih. đaba je.

ako vam to nije opcije i joomla i drupal i wordpress imaju bad behavior pluginove koji koriste - opet projecthoneypotove blackliste i nekakve dodatne analize paketa.

uz to, predlažem otvorit acc na projecthoneypotu i stavit njihov lažni link na svoj sajt koji pomaže u detekciji botneta.. u biti radi se o distributed načinu lokacije malicioznih adresa.


osim toga, svi ti razvijeniji cms-ovi imaju hrpe kojekakvih plugina i poboljšanja.. npr protiv brute forcea, razni web firewall plugini, ids/ips-ovi koji štite od directory traversala, xss-a, sqli-a i malformed paketa i sl... ja koristim wp najviše pa za njega znam, ali za joomlu nemam pojma kako se zovu. no ako malo potražite 2-3 plugina i bit ćete mirni sa tog "web aspekta".. ako kroz sve to uspiju proć - ja kažem e pa neka im, zaslužili su

s druge strane, ja koristim shared hosting pa nemam kontrolu nad serverom.. što može isto biti weak point. al eto.. sumyougainsome, sumyouloosesome

[4ndY]

obzirom da imam ponešto iskustva sa Joomla CMS-om čak sam se okušao u izradi kojekakvih alata i poboljšanja te mogu na osnovu svog iskustva zaključit da niste potpuno u pravu.

Koliko god da je neki CMS razvikan time je i zajednica veća koja razvija. Stoga odgovorno tvrdim da se CMS da podesiti da bude siguran bez nekih velikih nauka.

Na stranu sad sigurnost (iako i to tvrdim iz iskustva gdje sam 2 puta imao prepisivanje Joomlinih datoteka malicioznim sadržajem; u oba slučaja bio Joomlin propust iako i dio krivice snosim sam zbog neredovitog ažuriranja), tvrdim da je Joomla smeće jer na malo posjećenijim stranicama (1500 posjetna dnevno) grca bez cachea. To je meni osobno, iako ne profesionalnom programeru, ravno katastrofi. Kako uspiju napisati takav kod da za generiranje jednostavne naslovnice trebaju gotovo 20 SQL upita?!