Да я то проверял, файл вроде не создается... выглядит все прилично, но все таки уточнил. 🍿
Теперь заинтересовал другой вопрос, есть парочка серверов на которых стоит с мега давних времен FreeBSD, которая конечно же Out of Date, End Of Life , и.т.п :)) перефетчил порты, bash вообще перестал собираться, судя по всему make "стал другим" не понимает старые параметры, дрянное дело.... вопрос заключается в том, уязвимость актуальна только для применения через cgi ? Если допустим в системе нет сторонних пользователей, а так же нет апача, надо ли патчиться?
globalmoney: Уже выпустили фикс, просто ещё не по всем зеркалам разошёлся.
Хмм... как-то долго...
---------- Добавлено 27.09.2014 в 00:14 ----------
Centos5 - bash-3.2-33.el5_10.4
Centos6 - bash-4.1.2-15.el6_5.2.x86_64
Последняя на шестерку вроде бы как бы новая версия, а вот с пятеркой не совсем понятно, я получил её (обновил) еще до того как прочитал что "выпущенная заплатка не работает", является ли эта версия пофикшеной?
bbon: я не знаю всей задачи, но мне кажется, что (.+) - лишнее, иначе не отловит имя пользователя в начале-конце строки, примерно так
Совершенно верно, его там быть и не должно (имя пользователя в начале строки) файл подается в строгом формате xxx!$username!xxx это уже вторичная обработка данных так сказать, сначала создается тот самый файл... Ну в общем это уже не важно, всем спасибо за пояснения и участие!!!
megadimon: ну от клинических случаев не спасет ничего, но если клиент поставить себе на хомяка рекурсивно 777, то ничего в его жизни не изменится и никто его файлы не увидит. там помесь шаред хостинга и openvz, юзеры изолированы.
Ну так вот зачем проводить грань между хорошим и плохим, надо уметь пользоваться и тем и тем....
Обычный шаред никто никогда не проломает "через соседа" если сам клиент не даст такой возможности, а поставить 777 или выложить пароль от FTP в паблик в данном случае - разницы никакой... :)) как-то так :)
---------- Добавлено 23.09.2014 в 17:43 ----------
edogs: иначе ценники будут абсолютно неконкурентоспособные.
К некоторым клиентам приходят точно такие же понимания, они платят не на много дороже и имеют куда меньше проблем :) ☝
---------- Добавлено 23.09.2014 в 17:44 ----------
dmitrii_trof: Некоторые вещи уже можно будет усмотреть.
Например, что можно усмотреть в cPanel, на обычном щареде, phpinfo скажем так без "накруток" штатный... Просто пытаюсь понять ход вашей мысли.
hdparm --write-sector <sec-number> /dev/sda (Очень осторожно с нумерацией секторов).
hdparm --read-sector <sec-number> /dev/sda - показало нулей кучу, хотя показывало и в том случае когда я делал аналогичную процедуру при собранном рейде... видимо таки винты должны быть вне рейда что бы это свершилось.
Собрал raid с 1м винтом (/dev/sda) и прогнал fsck -f /dev/md1
Добавил /dev/sdb в массив и реконструкция завершилась успешно.
В общем профит таки есть, всем спасибо за советы!!!!
Очень важно, что перед началом сих деяний я плотно прошерстил интернет, наткнулся на кучу манов по теме и проделал массу разных манипуляций, в конечном итоге судя по всему ключевую роль сыграл разбор массива на отдельные винты с последующим write-sector в нужный....
Фома: Писал уже выше, был прецедент с взломом сайта в 10 страниц на голом html. Какие там права? Всё по умолчанию от хостера стояло.
При условии что вы не знаете что таки было сломано и как можно только фантазировать о взломе через соседа...
Фома:
Причём лежать он будет чаще, т.к. есличё, хостер скажет: "самсебеадмин, разбирайся" и полезет смотреть баг у себя только когда мы разберёмся и скажем "проблема не у нас". У виртуалки как-то быстрей всё решается и на VDS как-то сразу помогали. Причём по нашей вине то и глюков не бывает.
На сколько я понимаю мир хостинга проблемы серверов равноправны проблемам VPS в том плане, что хостер или берет на себя их решение или нет.... либо берет за деньги.... Это в случае хостинга услуга общая и хостер сам все решает, а в случае VPS он ни чем не отличается от выделенного сервера.
Фома:
Последний год платил за VDS 30$. Не думаю, что сервер за 50$ меня бы сильно разорил. 🍿
Дело не в разорении, ставьте тогда сразу сервер себе и не задавайте вопросы, соседей не будет, не думаю что вы этого не понимаете, но вопрос таки задаете :D
---------- Добавлено 19.09.2014 в 05:20 ----------
megadimon: ну зачем же такие крайности? и клаудлинукса хватит :)
А чем ваш cloudlinux поможет если я от своего корня 777 везде поставлю? или это запрещено в cloudlinux ? Или там chroot ? или что? Я как-то и без него живу честно говоря вполне нормально :)
Так проверьте. Команды для проверки есть - дело минутное.
Исходя из http://lists.centos.org/pipermail/centos-announce/2014-September/020582.html и https://access.redhat.com/solutions/1207723, для Centos 5 исправленная версия bash-3.2-33.el5.1
Для CVE-2014-7169
env X='() { (a)=>\' sh -c "echo date"; cat echoДа я то проверял, файл вроде не создается... выглядит все прилично, но все таки уточнил. 🍿
Теперь заинтересовал другой вопрос, есть парочка серверов на которых стоит с мега давних времен FreeBSD, которая конечно же Out of Date, End Of Life , и.т.п :)) перефетчил порты, bash вообще перестал собираться, судя по всему make "стал другим" не понимает старые параметры, дрянное дело.... вопрос заключается в том, уязвимость актуальна только для применения через cgi ? Если допустим в системе нет сторонних пользователей, а так же нет апача, надо ли патчиться?
Уже выпустили фикс, просто ещё не по всем зеркалам разошёлся.
Хмм... как-то долго...
---------- Добавлено 27.09.2014 в 00:14 ----------
Centos5 - bash-3.2-33.el5_10.4
Centos6 - bash-4.1.2-15.el6_5.2.x86_64
Последняя на шестерку вроде бы как бы новая версия, а вот с пятеркой не совсем понятно, я получил её (обновил) еще до того как прочитал что "выпущенная заплатка не работает", является ли эта версия пофикшеной?
Че-то я так понять и не могу, после второй уязвимости патча на CentOS 5/6 еще нет, я так понял?
bash-4.1.2-15.el6_5.1.x86_64 Сия версия судя по всему еще уязвима?
я не знаю всей задачи, но мне кажется, что (.+) - лишнее, иначе не отловит имя пользователя в начале-конце строки, примерно так
Совершенно верно, его там быть и не должно (имя пользователя в начале строки) файл подается в строгом формате xxx!$username!xxx это уже вторичная обработка данных так сказать, сначала создается тот самый файл... Ну в общем это уже не важно, всем спасибо за пояснения и участие!!!
bbon, Спасибо, но не совсем так, я написал выше, что оригинальное сравнение происходит по файлу который читается:
По этому $username изначально не известен.... он приходит в переменную, по этому как туда применить экранирование - не ясно :(
А данную конструкцию я просто привел для примера, что бы проверить....
Представьте что перед while() например стоит $username = $ARGV[0];
ну от клинических случаев не спасет ничего, но если клиент поставить себе на хомяка рекурсивно 777, то ничего в его жизни не изменится и никто его файлы не увидит. там помесь шаред хостинга и openvz, юзеры изолированы.
Ну так вот зачем проводить грань между хорошим и плохим, надо уметь пользоваться и тем и тем....
Обычный шаред никто никогда не проломает "через соседа" если сам клиент не даст такой возможности, а поставить 777 или выложить пароль от FTP в паблик в данном случае - разницы никакой... :)) как-то так :)
---------- Добавлено 23.09.2014 в 17:43 ----------
иначе ценники будут абсолютно неконкурентоспособные.
К некоторым клиентам приходят точно такие же понимания, они платят не на много дороже и имеют куда меньше проблем :) ☝
---------- Добавлено 23.09.2014 в 17:44 ----------
Некоторые вещи уже можно будет усмотреть.
Например, что можно усмотреть в cPanel, на обычном щареде, phpinfo скажем так без "накруток" штатный... Просто пытаюсь понять ход вашей мысли.
iHead, вроде бы стработало, где почитать что дает \Q \E ?
В общем все свершилось. Проделал следующее:
В общем профит таки есть, всем спасибо за советы!!!!
Очень важно, что перед началом сих деяний я плотно прошерстил интернет, наткнулся на кучу манов по теме и проделал массу разных манипуляций, в конечном итоге судя по всему ключевую роль сыграл разбор массива на отдельные винты с последующим write-sector в нужный....
физику проверяли? sata-кабели, питание?
проверяли и меняли, тоже самое :)
Писал уже выше, был прецедент с взломом сайта в 10 страниц на голом html. Какие там права? Всё по умолчанию от хостера стояло.
При условии что вы не знаете что таки было сломано и как можно только фантазировать о взломе через соседа...
Причём лежать он будет чаще, т.к. есличё, хостер скажет: "самсебеадмин, разбирайся" и полезет смотреть баг у себя только когда мы разберёмся и скажем "проблема не у нас". У виртуалки как-то быстрей всё решается и на VDS как-то сразу помогали. Причём по нашей вине то и глюков не бывает.
На сколько я понимаю мир хостинга проблемы серверов равноправны проблемам VPS в том плане, что хостер или берет на себя их решение или нет.... либо берет за деньги.... Это в случае хостинга услуга общая и хостер сам все решает, а в случае VPS он ни чем не отличается от выделенного сервера.
Последний год платил за VDS 30$. Не думаю, что сервер за 50$ меня бы сильно разорил. 🍿
Дело не в разорении, ставьте тогда сразу сервер себе и не задавайте вопросы, соседей не будет, не думаю что вы этого не понимаете, но вопрос таки задаете :D
---------- Добавлено 19.09.2014 в 05:20 ----------
ну зачем же такие крайности? и клаудлинукса хватит :)
А чем ваш cloudlinux поможет если я от своего корня 777 везде поставлю? или это запрещено в cloudlinux ? Или там chroot ? или что? Я как-то и без него живу честно говоря вполне нормально :)