cgi-perl açığı Büyük firmaların sorunu

Sonuna kadar katılıyorum Co$kuN 'a.

@Andycap, Linuxü aktif olarak kullanan, işleyişini bilen biri. O nedenle böyle ısrarla sormuş olmalı. Evet kernel güvenli ve güncelse dosya izinleri işe yarar Andy.

perl, cgi uygulamaları kullanıcılara büyük oranda kapatılabilir. Uygulamaların kullandığı komutlar sadece root seviyesinde çalıştırılabilir. Öyle "fake" yolla da açılmaz. Bahsettiğiniz konunun bir bölümü kernelle ilgili. Eğer kernelinize güveniyorsanız belli dosya izinlerini ayarlayarak hemen hepsinin önüne geçersiniz. Yanıtı iletilerinizde zaten yazmışsınız ama "engellenemez" önyargınız yüzünden farkına varmamışsınız.

cat
ls
ln
...
kullanımlarını engelleyin, sahiplenin. Eğer hala "fake" yolla aşılır diyorsanız (ki rootlanmanız gerekebilir) açık kaynaklı bir ortamda çalışıyorsunuz. 2 satır kod yazıp hepsinin önüne geçersiniz. Burada insanlara host hizmeti veriyorsunuz. Birazcık araştırıcı ve mücadeleci olun. "Engellenemez" diye birşey yok. Engellersiniz.

şehmuzun verdiği kodu şimdi gördüm. onun doğrusu şöyle olacak:

chmod 711 /usr/bin/perl

böylece whmsonic, awstats, webmail çalışır.

chmod 711 /bin/cat
chmod 711 /bin/ln
chmod 711 /usr/bin/perl
chmod 711 /usr/local/bin/perl

cgi'yide hem apache'den hem WHM'den kapatırlar onu bunu ayarlarlar

vs. vs. Kernel sağlam olmadıktan sonra ne işe yarayacak bu ?

hani noexec nosuid hani kernel (:

bin/cat
bin/ln
bunları 711 yapmayın 700 yapın

Birazda ben yardımcı olayım
Sunucunuz sadece web sunucusu irc satışınız yok ise yapmanız gerekenler
CPanelinizi stable sürümü ile yeniden güncelleyin apachenizi yeniden derledikden sonra
Tüm güncellemeleri never yaparak devredışı bıraktıkdan sonra

cat
tac ( Bunu herkez bilmez ) cat komutunun aynı işlemini yapar
ln
ls
dir
pico
nano
vi
perl
wget

komutlarına chmodlarını 700 verin bundan sonra kolay kolay hacklenmeyeceksiniz.

chmod 710 /bin/cat
chmod 710 /bin/ln
chmod 711 /usr/bin/perl
chmod 700 /bin/dir
chmod 700 /usr/bin/dir
chmod 700 /usr/bin/find
chmod 700 /usr/bin/tac
chmod 700 /usr/bin/ls

wget pico nano vi gibi komutlarada chmod 700 verebilirsiniz sadece root'un çalıştırabilmesi için.

Harun'a ekleme yapayım sadece perl'in chmod'unu 711 yaparsanız daha sağlıklı olur bu şekilde cPanelde olası sorunlar yaşamazsınız.

Chmod'u 711 yaparsanız kısayollar engellenmez /cpanel /whm /webmail gibi. ve cPanelde şifre değiştirmeye çalıştığınızda hata kodları almazsınız.

+ olarak Kernel'inizi iyi bilen birisine ücret karşılığında derletin. home ve tmp klasörlerinizi noexec nosuid olarak mount ettirin. Bunların her biri kalenizin surlarını yükseltecektir.

Safemode gibi saçma sapan olaylara inanmayın. Buna php'de inanmıyor bu yüzden php'nin son sürümlerinde safemode diye bir saçmalık yok, kaldırmışlar. Bunları yapın safemode off olsun.

Bu sorun sadece bir cgi-perl açığından ibaret değil. Bunu engelleseniz shell scriptler ile aşabilirler bunu dan engelleseniz başka türlü aşarlar, zaten SSH erişimi verdiğiniz herkes bu şekilde site hackler. Kullanıcı yetkileri bazında düzenleme yapılması gerekli sunucu çapında.

Bu sorun ln -ls kullanarak kısayol oluşturulması ve config okuyup r57 ile bağlanması cgi-perl ile alakalı. Bu yüzden konu altında sadece bu açığın nasıl kapatılacağı hakkında bilgi veriyoruz.

Genel güvenlik içinde zaten bunların dışında yapılabilecek az sayıda önlem kalıyor.