Op deze website gebruiken we cookies om content en advertenties te personaliseren, om functies voor social media te bieden en om ons websiteverkeer te analyseren. Ook delen we informatie over uw gebruik van onze site met onze partners voor social media, adverteren en analyse. Deze partners kunnen deze gegevens combineren met andere informatie die u aan ze heeft verstrekt of die ze hebben verzameld op basis van uw gebruik van hun services. Meer informatie.

Akkoord

Vraag & Antwoord

OS Linux

Linux server is onveilig!

Mithrandir
15 antwoorden
  • Hoi,

    Net heeft iemand mijn root-wachtwoord gesnift via port 80 (??). En dat geeft me niet zo'n veilig gevoel :wink: Ik heb het idee dat mijn firewall niet helemaal lekker geconfigureerd is :sad: De dump van mijn fw-status staat op http://phpc1.cjb.net/firewallstatus.dump
    Iemand een leuk ideetje om verdere inbraken te voorkomen :smile:

    Bedankt,

    Barry Faas
  • Root wachtwoord via poort 80, waar ben jij mee bezig geweest?!? Gebruik je toevallig onveilige CGI scripts?

    _________________
    Lees de C!T Linux forum FAQ voor antwoord op veelvoudig gestelde vragen.
    Bezoek http://danieldk.cjb.net voor NetBSD, OpenBSD, Linux en OS/2 info.

    [ Dit Bericht is bewerkt door: danieldk op 2002-02-25 14:44 ]
  • [quote:e123fe8e1d]
    Op 25-02-2002 14:40, schreef phaas:

    Iemand een leuk ideetje om verdere inbraken te voorkomen :smile:

    Bedankt,

    Barry Faas

    [/quote:e123fe8e1d]

    Om te beginnen een ander wachtwoord nemen, maar dat had je zeker al gedaan…. :grin:
  • En daarna al je contact met je Linux/Unix Server via SSH of iets ecures laten lopen.
    Elke aap die plain text wachtwoorden over het internet gooit zeg eigenlijk : "Kom maar binnen en verpest me systeem maar"

    Dus wat leer je hiervan?
    Geen plain text ww over het internet sturen.
    jammer genoeg is het niet haalbaar voor alle ISP's om hun pop en telnet diensten te securen.
    Zo biedt bijv. Xs4all ssh en Webmail over HTTPS..wat toch wel een veilig gevoel geeft..
    BSMTP is ook een fijne feature! :smile:

    Suc6 met beveiligen van je server(s)!

    M.
  • kun je je webserver niet zonder rootdinges laten werken?
  • Wat bedoel je???
  • Normaliter draait apache nobody:noroot, aangezien het via poort 80 gebeurt is hou ik het op een onveilig cgi script.
  • [quote:0c1423a9cd]
    Op 25-02-2002 16:10, schreef phaas:
    Wat bedoel je???

    [/quote:0c1423a9cd]

    dinges: privileges e.d.
  • Apache draait als wwwrun:nogroup.


    Ik heb wel een PHP-script dat wachtwoorden valideert. (php-script stuurt ww. naar een perl-programma) Misschien is dat een probleem??? Zo ik dat op kunnen lossen door de handel te coderen???

    Barry
  • [quote:5b74045209]
    Ik heb wel een PHP-script dat wachtwoorden valideert. (php-script stuurt ww. naar een perl-programma) Misschien is dat een probleem??? Zo ik dat op kunnen lossen door de handel te coderen???
    [/quote:5b74045209]

    Als je vanaf afstand als root inlogt (niet secure) dan is het snel gedaan met je wachtwoord. Maar is het script wel veilig?
  • mmmmm controleer inderdaad eerst even of je apache niet als root draait.

    Doet hij dat wel kijk even of je niet iets met het sUID bitje kan doen, dit zorgt ervoor dat je een aantal progjes wel uit kan voeren die normaliter alleen de root kan starten.Zie de man pages en HOWTO's.

    Helaas kan dat niet met elk programmaatje, sommige kijken naar de real User-ID, dus dan heeft het sUID bitje ook niet altijd zin, dan moet je apache als root compileren, met de zogeheten DBIG_SECURITY_HOLE optie.(dit moet je altijd ZELF doen). Maar als je dat niet gedaan hebt zal ik eerst even wat andere services checken of idd een onveilig script.

    GreetzZzz
  • Dit is mijn PHP-scriptje:

    <?
    $validate = `/www/login/chkyppw $user $pw`;
    if($validate){

    // bla bla bla

    }
    else{
    print "Access denied!!";
    }
    ?>

    En dit is het perl programma:

    #!/usr/bin/perl

    unless( $ARGV[0]){
    die "0";
    }
    unless( $ARGV[1]){
    die "0"
    }

    @ext = split(":", `ypmatch $ARGV[0] passwd`);

    if(crypt($ARGV[1] , @ext[1]) eq @ext[1]){
    print "1";
    }

    Misschien weten jullie of dit veilig is of niet…..
  • Lijkt me niet.

    Stel dat iemand als 'user' dit invoert:

    blabla; cat /etc/passwd >&2 #

    dan expandeert jouw script als

    [b:12c00efc88]/www/login/chkyppw blabla; cat /etc/passwd >&2 # password[/b:12c00efc88]

    Niet geprobeerd, maar je moet user invoer die je in een shellcommand gaat gebruiken altijd escapen (escapeshellcmd).
  • Hmm, ik weet de oorzaak al:
    Mijn server is niet gehackt, maar ik had een bestandje op m'n www-root laten staan met m'n ww. erin. Een van m'n users heeft 'm eruit gevist :wink: Soms kan ik ongeloofelijk stom zijn :wink:

    Oja, wat bedoel je met 'escapen' ???

    Barry
  • Hmm, ik weet de oorzaak al:
    Mijn server is niet gehackt, maar ik had een bestandje op m'n www-root laten staan met m'n ww. erin. Een van m'n users heeft 'm eruit gevist :wink: Soms kan ik ongeloofelijk stom zijn :wink:

    Oja, wat bedoel je met 'escapen' ???

    Barry

Beantwoord deze vraag

Dit is een gearchiveerde pagina. Antwoorden is niet meer mogelijk.