Pěkný článek.

Pokial sa na tom za poslednu dobu nic nezmenilo, nastroje pre kompilaciu niesu sucastou instalacie beznych “bfu” distribucii, su len dostupne v repozitaroch. V Ubuntu je to build-essential, v archu skupina base-devel, vo fedore skupina “Development Tools,” atd, atd…

V dnesnej dobe sa podla mna viac oplati bash skript, co si wgetom stiahne staticky linkovanu 32bit. binarku.

” Dále stahování a instalace potenciálně velmi nebezpečného warezu je spojeno téměř výhradně s užíváním platformy MS Windows.”

Toto mi pride ako dost populisticke! je sice pravda ked stahujes soft z balickovacieho systemu tak sa to stat nemoze, ale tvrdit ze to je problem iba Windowsu! Ja osobne antivirus nemam uz zopar rokov, vsetci sa ma pytaju preco ako vyvojar nemam antivir, odpoved je jednoducha plnim zakladne bezpecnostne pravidla

re kozec : Domnívám se, že většina uživatelů Linuxu většinu těchto nástrojů nainstaluje. A i v základních čistých distribucí je toho spoustu.

Třeba nejrozšířenější Ubuntu (viz http://linuxzblizka.blog.zive.cz/2010/07/moje-statistiky-o-linuxu/ ) podle http://distrowatch.com/table.php?distribution=ubuntu ve verzi 10.10 MM bude obsahovat přinejmenším Bash, Bind, GCC, GLibc, Mono, Python, Perl…

fexik: taky jsem roky nepoužíval antivir, ale stačil jeden incident s W32/Virut.BM a už ho zas používám neb nikdy nevím kdy zas někdo napíše klasický file-infector… Na tohle bezpečnostní pravidla moc nepomůžou…

re fexik: Máte pravdu. Sdělení jsem přeformuloval.

[3] Me to populisticke neprijde. Bezny uzivatel windows si na kazdou blbinu(balicky multimedialnich kodeku, grabovani do mp3, archivacni program, prejmenovani fotek,…) vygoogluje nejaky pochybny freeware a instaluje. U Linuxu mas drtivou vetsinu potrebnych veci v repozitarich a i kdyz na to nejdes pres repozitare, ale pres google, tak stejne vetsinou najdes prikaz typu “sudo aptitude install xxx”, nevim o zadnych strankach plnych pochybneho freewaru pro Linux.
I kdyz budes tvrdit, ze to neni pravda, tak na realite nic nezmenis.

Omlouvám se za smazání posledního příspěvku. Likvidoval jsem asi 100 různých spamů ke starším postům (casina, afrodisiaka, prodloužení penisu, půjčky apod.) a překlikl jsem se.

Co třeba připsat na konec tohoto souboru alias sudo=’sudo /cesta/k/malwaru’ >
Tak nevím, zda si dělá autor článku legraci nebo to myslí vážně. Útočník by se musel fyzicky zmocnit disku (jinak stačí zabezpečení ssh na dálkový přístup) a dopsat to ručně. Připomíná mi to známý albánský virus

[9] Dává to smysl a je to extrémně zákeřné. Malware bez root práv tohle připíše příkaz alias sudo=’sudo /cesta/k/malwaru’ na konec ~/.bashrc, tím se při každém startu Bashe provede alias sudo=’sudo /cesta/k/malwaru’. A potom neškodné sudo synaptic je sudo /cesta/k/malwaru synaptic, čímž místo zamýšlené spuštění synapticu pod rootem se spustí malware pod rootem.

[9] Chce to mat “vhodne” nakonfigurovane sudo, ale inak to nieje ziaden problem. A ako som prave vyskusal, sudo v Ubuntu je “vhodne” nakonfigurovane

dl.dropbox.com/u/134520/malware.sh

Napsal uzivatel2 : Protokol http u (bývalého) linku výše smazal autor blogu. Podrobnosti viz následující příspěvek.

Ospravedlnujem sa za dblpost, ale predchadzajuci link som musel zmenit, nakolko tu bola ista sanca, ze ho browser miesto zobrazenia spusti

http://dl.dropbox.com/u/134520/malware.sh.txt

re kozec: Tenhle způsob eskalace práv (resp. klamání při zadávání root hesla) zřejmě funguje i na mnoha jiných distribucích. Schválně jsem Váši implementaci http://dl.dropbox.com/u/134520/malware.sh.txt úspěšně otestoval pod Debianem.

[13] Vy s tim nadelate, jako kdyby to melo zacit jadernou valku(myslim ten pozmeneny skript…snad stacila ta zmena pripony). Ale idea je jasna a vlastne me to ani nikdy nenapadlo

…uz jsem pro jistotu dal
chown root .bashrc

Vzdyt Gentoo je treba na prekladaci zalozen >-/

Taková je realita, sám bych to lépe neformuloval.
BTW: proč už uživatel2 není členem redakce živě.cz?
Články sice nepíše tak často, ale i přesto svojí celkovou kvalitou převyšují celé živě - nic ve zlém ^^

..no to jsou povidacky - UNIX - vzdyt ten vznikl na stejnych zakladech jako jadro Windows NT. A pak vznikl Linux. Multithreading tehdy znal jen NT system (neplest s multiprocesingem).

Windows maji tak jen jedno uloziste pro Update “balicku”, a dokonce chranene certifikatem zdroje i balicku.

Problemem Windows je, ze vetsina uzivatelu “dela” pod Administratorem - proste maji Admin prava. Kdybych pod rootem poustel wecy z webu nebo hral gamesky to by byla stoka z PC za chvili.

som kategoricky proti tomu.

to 18:Vy berete nějaké léky?Pokud ne,měl by jste začít,pokud ano,asi by jste měl skončit,ale teď vážně,první UNIX systém spatřil světlo světa už v 50. letech minulého století,jádro NT které je dnes ve Windows se objevilo až v 90. letech,těžko tedy může UNIX vycházet z jádra NT,tedy pokud Bill Gates neumí cestovat časem

[20] No bez ohledu na to, jestli má [18] pravdu nebo ne, ohrazujete se proti něčemu, co vůbec netvrdí. On jen řekl, že NT a UNIX vycházejí ze stejného základu, vůbec nezmínil, co bylo dřív, ani že jedno vychází z druhého.

[18] myslíte windows update? nějak mi uniklo, že nyní již jde přes wu aktualizovat i photoshop, firefox, winamp nebo stalkera

Bóže, to Linuxový evangelium snad nebere konce, kdejaká mexická telenovela by mohla závidět.

@18,20

No myslím, že bych to měl za vás upřesnit. Unix spatřil světlo světa v 69. Jeho předchůdce Multics (ze kterého čerpá ale zároveň se proti němu vyhrazuje) se začal dělat v 64. Ale je potřeba si uvědomit, že tenhle Unix měl s dnešním Linuxem společného velmi málo. Tuším, že to nemělo virtuální paměť, multitasking byl hodně hrubozrnný, první verze byla v assembleru. Zkrátka šedesátá léta.

WinNT je z počátku devadesátých let a vychází z OpenVMS. Respektive jaderný tým byl přetažen od OpenVMS. O tom systému se moc neví (ani já), není to pravý Unix, ale asi mu není úplně nepodobný.

Jinak multithreading vs multiprocessing, to je jen terminologie. Nativní vlákna nejsou nic jiného než procesy, které sdílí paměťový prostor (krom zásobníku).

Jinak WinNT není nic špatného, problém jsou spíš věci kolem - dědictví devadesátých let, kdy “nebyl” internet a bezpečnost se neřešila. Je to koule na noze. Naproti tomu Unix má dědictví síťových serverů, kde se toto řešilo vždy. Ale zase svého času neuměl běžet na 2 MB RAM.

1.Podle mne je asi jednodušší napadnout repozitář. Už se to stalo. I když podsunete přes DNS jiný server a bude to hlásit, že nesedí klíč, řada uživatelů prostě odpoví Nainstaluj to i tak…
2. Jsou i Linux Warezy - typicky CrossOver, VMware - stačí jen lehce něco podsunout…

Dobrý den, nemohu úplně souhlasit s jednotností distribucí. Je třeba si uvědomit zásadní fakt, že útoky většinou probíhají na určitě verze programů a právě zde dle mého názoru je podstatně větší diverzita Linuxu než třeba u Windows. Jednotlivé distribuce totiž mají různé verze balíků. Samozřejmě jinak injection do zdrojáků není žádný objev, na serverových instalacích běžně nejsou a ani tam nebývají kompilátory.

[13] debian a ubuntu (a vysoko pravdepodobne aj vsetky verzie masoxu) su co sa tyka konfiguracie sudo ten isty prasivy pes. v distribucii so seriozne nakonfigurovanym sudoers. minimalne v slackware-i je vo vychodzej konfiguracii potrebne mat explicitne v sudoers napisany kazdy prikaz, ktory ma byt cez sudo spustitelny.

s tou “autoreplikaciou” na urovni zdrojoveho kodu bude trocha problem v tom, ze bezna binarka po skompilovani jednak v pripade distribucneho kodu nie je vytvorena s debugovacimi symbolmi a jednak pokial sa jedna o program a nie kniznicu, este prebehne strip linkovacich symbolov. v takom pripade uz ani pri hypotetickom (inlinovane metody, optimalizacie vetveni cez jump table a pod. to skoro urcite vylucuju) zrekonstruovani strojoveho kodu do podoby C-ckoveho zdrojaku neexistuje ziadna moznost povedat, co je (resp. bolo) mainom.

dalsim problemom tohto “utoku” je, ze este vyzaduje existenciu nejakeho sposobu ziskania rootovskych prav, aby standardne include subory mohol pomenit. ak by nejaka widely usable chyba tohto druhu existovala, tak je jednoduchsie zneuzit ju injektovanim binarneho kodu priamo do ELF binarky, pretoze to je cele (uplne do detailov ELF nepoznam) o vytvoreni novej sekcie a zmene entrypointu.

osobne si neviem predstavit, aby virus pri svojej cinnosti trebars disassembloval binarku bashu, patchoval ju a potom ju znova kompiloval. C-cko nie je Java, ze sa z BLOBu sa spatne ziskat povodny zdrojovy kod. Aj keby sa to dalo, bezna binarka ma tolko zdrojovych kodov, ze by si to nejeden vsimol.

Nepoužívám sudo. Jsem asi debil, že?

re ventYl : >> … zrekonstruovani strojoveho kodu do podoby C-ckoveho zdrojaku neexistuje ziadna moznost povedat, co je (resp. bolo) mainom.

Na svých stránkách http://frantisekbartik.cz/blog-ke-stazeni.html jsem uvedl řešení (se záměrnou chybou), které je funkční. Na (ne)přítomnosti debugovacích symbolů, stripováním symbolů funkčnost kódu nezávisí. Nechápu, v čem vidíte problém.

Poznámka : Nebezpečnost útoku na hlavičkové soubory je, že v systému neběží nakažený proces.

>>…nejakeho sposobu ziskania rootovskych prav

Jedna z možností získání root práv je popsána v článku a v jednom z předchozích komentářů Kozec naznačil implementaci. Netvrdím, že toto vylákání root hesla, lze vždy v praxi účinně použít.

To autoreplikační makro pro /usr/include/stdio.h vypadá přibližně takto:

#define main(x,y) main(int argc, char** argv){…logika replikace…; \
return puvodni_main(argc, argv);} int puvodni_main(x, y)

Takže z programu :

int main(int n, char ** m){
… kód …
}

vyrobí popsané autoreplikační makro toto:

int main(int argc, char** argv){
…logika replikace…;
return puvodni_main(argc, argv);
}
int puvodni_main(n, m){
… kód …
}

[29][30] vas “proof of concept”, ako to nazyvate je sice pekny kus preprocesoroveho makra, ale ako som sa snazil naznacit a vy ste nepochopili, to makro sa nema coho chytit.

vsetko, co “malware” ma k dispozicii, je binarka prosta akejkolvek identifikacie toho, ktory byte patri do akeho kusu povodneho zdrojaku. to sa v tej binarke nepise, fakt. cize disassemblingom sice mozno ziskat prepis binarky do niecoho, ale to nieco je GASovy zdrojak (assembler vo formate AT&T), nie C-ckovy zdrojak. Aj keby existoval spolahlivy nastroj na konverziu gasoveho zdrojaku do C-ckoveho zdrojaku, nie je schopny povedat, ktora funkcia je main, pretoze main _NIE JE_ entrypointom binarky. pred mainom je linkerom vsunuty preddefinovany prolog a za mainom je vsunuty definovany epilog.

proof of concept ukazuje, ze do C-ckoveho zdrojaku mozno podsunut makrom podivnu funkcionalitu do mainu. ale proof of concept uz neukazuje, ako z binarky ziskat C-ckovy zdrojak, ktory na toto bude vhodny. a to je ten problem, na ktory narazam.

nehovoriac o tom, ze je to cele uplne zhovadile riesenie robiace veci naokolo blizsie.

hlavne /home, /tmp…. adresare sa daju namontovat ako noexec takze to obmedzuje viry v podstate iba na skripty…

re venrYl : >>proof of concept ukazuje, ze do C-ckoveho zdrojaku mozno podsunut makrom podivnu funkcionalitu do mainu.

Ale právě částí té podivné funcionality je schopnost vypsat původní makro (v jazyce C) do /usr/include/stdio.h

Mám pocit, že směšujete dva různé příklady. V sekci “Mýtus: nenapadnutelnost zdrojových kódů” jsem zmiňoval možnost disassemblerování a v sekci “Praktická ukázka” jsem odkazoval ukázku makra vkládaného do /usr/include/stdio.h. Tyto dvě úvahy NESOUVISÍ.

@27: Debian defaultne sudo nainstalovane nema. A ani po instalaci se nebude chovat jako v Ubuntu dokud do /etc/sudoers nepridas:
juzr ALL=(ALL) ALL
nebo:
%skupina_ve_ktery_je_juzr ALL=(ALL) ALL

[33] ak uvaha modifikacie stdio.h nesuvisi s modifikaciou existujucej binarky, tak neviem, komu by to prakticky k comu bolo.

nehc utocnik ma rootovsky pristup k masine, co mu umozni zmenit stdio.h. potom exstuju 2 moznosti.
bud sa na masine kompiluje, alebo nekompiluje. ak sa nekompiluje, bolo to k nicomu. ak sa kompiluje, vznikne kod, ktory sa potencialne snazi zeditovat stdio.h. ak sa jedna o uzivatelovu masinu, taky kod vacsinou konci v /usr/local/ a dalej sa nedistribuuje. ak sa jedna o nejaku kompilovaciu farmu, ok, vznikne aplikacia, ktora sa pri spusteni snazi zeditovat stdio.h a potencialne bude distribuovana na ine masiny.

lenze na tych inych masinach bude v 99% pripadov spustana s pravami bezneho uzivatela, takze k ziadnej editacii nedojde. a aj keby doslo, ze by kod uspel napr. editaciou .bashrc, zasa sa to cele dostane do slepej ulice, pretoze uzivatel vysoko pravdepodobne nebude dalsi kod kompilovat a ak aj ano, nebude ho distribuovat.

[21] a co ked vychadzaju z toho isteho? Aj skodovka s VW vychadzaju z toho isteho a napriek tomu je skodovka len chudobny pribuzny. Dufam, ze teraz par CZ patriotov neurazim.

Repozitáre asi pomerne slušne chránia úplného BFU, ale príčinlivého užívateľa asi nie. Ja nie som nejaký skúsený linuxák, ale niekoľko vecí z neoficiálnych zdrojov som kompiloval (napr. ovládače pre Matrox), pár krát som pridával neoficiálne repozitáre, vyskúšal som nejaké Easy Ubuntu, či ako sa to volalo. A spoliehal som sa len na to isté, ako u Windows - že sa o tom píše na fórach a vyzerá to byť “kóšer”. Ak by niekto zneužil absenciu poriadnych ovládačov pre grafiku Matrox,pripravil hodnovernú stránku a podhodil tam nedajbože aj binárky, nejakých ľudí by nachytal ľahko. Videl som aj stránku, ktorá núkala balíčky aktuálnych verzií niekotorých žiadaných balíčkov pre Ubuntu a vyzerala tak amatérsky, že som radšej neriskoval… A tie rôzne Easy Ubuntu, ktoré na pár klikov “nainštalujú všetko, čo potrebuješ” a propagujú sa na fórach, to je to isté ako u Windows. Ak tam niekto podhodí nejaký malware, tak sa rozšíri. A ak sa časom objavia aj cracknuté verzie komerčných programov pre Linux, tiež sa budú používať.

Repozitáre by užívateľa ochránili len v prípade, že by v nich bolo naozaj všetko, na čo si človek pomyslí

re 35 ventYl : Proto jsem rovnou do článku napsal toto : “Tyto úvahy samozřejmě nevedou k vytvoření skutečné bezpečnostní hrozby.”. A navíc v sekci “Proč je Linux velmi bezpečný systém” jsem v druhém a třetím de facto upozornil na existenci Vašich argumentů.

@37 - to je tym ze mas nestandardny / linuxom nepodporovany HW.
Ak by sa linux rozsiril a predavali by sa “linux compatible” PC tak by tento problem nebol.

A napr v ubuntu repozitaroch mas vsetko co by bezny uzivatel mohol pouzit. Nic si dokompilovat nemusi.

Já nevím: nejprve popíráte, že “vzhledem ke své penetraci mezi BFU není Linux pro tvůrce crimeware atraktivní”, a pak to své tvrzení bodem 3 vyvrátíte.
Trochu víc integrity by neškodilo

jen bych dodal, že s dobrou MAC politikou, se většině softu nepovede ani to sudo, protože .bashrc bude určitě labelované tak, že nějaký bash do něj nemá co zapisovat

1. Android je Linux, je dostatecne rozsireny na to, aby pro nej byly viry. Pockame si a uvidime, jak se nam trh s viry pro Android vybarvi.

2. Wi-fi routery, snad vsechny bezi na Linuxu. Vzhledem k tomu, ze jde o branu do internetu je urcite zajimave je ovladnout.

3. Prestiz. Spousta viru vznika jen z prestize, aby ukazali, ze ja jsem ten, kdo na to ma se k tobe nabourat. Nechcete byt prvni, kdo svym virem znici milion pocitacu bezicich na Linuxu? Zde je tedy uplne irelevantni, zda je, ci neni Linux majoritni system. Kde mame takovy vir?

Linux je velmi bezpecny operacni system a neni to kvuli jeho nizkemu rozsireni, ale kvuli tomu, jak je navrzen.

[42] dle meho nazoru se viry siri nejvice socialnim inzenyrstvim - tj. uzivatel neco otevre, nekam klikne, neco spusti. Z tohohle ten wifi router nedela vubec nic.

„… z Internetu stáhnou (např. NetCat) nějaké zdrojové kódy, s pomocí neinteraktivních textových editorů (např. grep, awk) stažené kódy integruje do disassemblerovaných kódů, které pak nechá zkompilovat a nahradí získanou binárkou původní spustitelný soubor…“

Jistě, byl by zajímavý nápad najít v tom assemblerovém kódu (například) funkci main, něco zajímavého do ní přidat a pak tu celou věc zkompilovat. Z disassembleru ovšem vypadne prostě assemblerový kód. (Ten bych zdrojovým kódem rozhodně nenazýval…) Takže by bylo potřeba (1) stáhnout kód viru v assembleru pro vhodnou platformu, (2) umět ten assemblerový kód rozumně editovat a správně začlenit stažený virus a nakonec (3) nahradit původní binárku.

U bodu (3) stojí za zmínku, že nepotřebujete práva roota. Stačí jen uživateli zmanipulovat jeho $PATH (například v ~/.profile) a binárku uložit do nějakého běžně přístupného adresáře, třeba ~/.bin nebo tak něco, který bude v nové $PATH na začátku.

Naozaj perfektný článok
ako bežnému užívateľovi linuxu to dalo lepší rozhľad na problematiku bezpečnosti…

Takže když celý článek si shrnu, tak verdikt je, že windows jsou bezpečnější a přejít na linux kvůli větší bezpečnosti je blbost?