Vlákno názorů ke zprávičce Secunia: 98 % počítačů s Windows je zranitelných od Tosuja - Myslim, ze by se nemuseli omezovat jen na...

pres diru v prohlizeci? nebo prehravaci audia? nebo nejakej trojan? cojavim? jak se dostavaj "viry" na windows?

Pokud se tam ten mingetty dostane pres browser nebo prehravac audia ci jinou podobnou cestou, je velmi nepravdepodobne, ze by bezel pod rotem a mohl tak nadelat nejakou vetsi skodu. To by musel byt rafinovanejsi mingetty, ktery obsahuje nejaky lokalni exploit. A ten by mohl anebo take nemusel fungovat, zalezelo by na stavu jadra v dane distribuci. Cili autor toho utoku by mel mnohem tezsi zivot, nez s Windows, kde je prostredi mnohem homogennejsi a navic je mezi uzivateli Windows velmi rozsireny zvyk provozovat OS pod rootem.

Ach jo, vazne jste tak nechapavi?

Proc by musel proboha spyware bezet pod rootem? Na spoustu veci nepotrebujeme roota. Bude vam smirovat vase pozlacene ssh klice a hesla. A nebo vase data, jste-li ve firemnim prostredi. Nebo neco jineho, to neni podstatne. Podstatne je ze se vam tam dostal program, kterej i bez roota muze nadelat paseku. Kdyz jsme u toho, tak ten pristup na roota si casem vysmiruje taky. (Staci se napichnout na terminal a kouknout se co delate se svym pozlacenym sudo.)

A proti tomu neni zavedena zadna efektivni obrana, ackoliv k tomu existuje hafo nastroju (viz muj puvodni prispevek). A dokonce, jak bylo demonstrovano odpovedmi zucastnenych, zdejsi mentalita s necim takovym vubec nepocita. Jediny stesti je, ze se zatim exploitujou jen prohlizece pod windows.

asi stále žijí v představě, že ten jediný správný malware musí nutně běžet pod rootem, jinak nestojí za pozornost ...

To mate sice pravdu, ale bez roota ten malware nadela v systemu pomerne malo skody a je snadne ho odtamtud odstranit. Ostatne, pokud budu dostatecne paranoidni, budu poustet browser pod jinym uzivatelem a pak toho ten malware moc nevysmiruje. Nanejvyse tak to, co delam na webu, protoze na nic jineho toho uzivatele nebudu vyuzivat.

a proč by měl v systému dělat nějakou škodu? To by byl jen proti sobě - on se radši jen připojí do botnetu...

kopa ľudí si stále myslí, že cieľom malvare je stále poškodiť súbory alebo hardvér. V skutočnosti je dnes cieľom malvare pre svojho tvorcu niečo získať (heslá, citlivé údaje) alebo ho nejako využiť. A na to principiálne netreba práva roota, hoci taký program si časom heslo roota bez problému získa.

A nebo ten botnet. Kolikpak lidi ma dusledne filtrovanej chain output? Nebo nejak jinak nastavenej "pristup aplikaci na internet"? :-)

Napachat skodu=modifikovat system, treba vymenou a pridanim binarek top, ps, ls, ssh a co ja vim jeste).

Jenze kdyz nebude mit roota, tak to nejlepsi, co zmuze, je to, ze jen tak pobezi a ja si ho drive nebo pozdeji vsimnu v task manageru nebo nekde. Kdyz bude mit roota, muze mi ofixlovat binarky tak, ze ho vubec neuvidim a to se to pak blbe hleda a opravuje a clovek to radsi preinstaluje, protoze se tomu uz neda verit.

Zda se, ze jste si poradne neprecetl prispevky na ktere reagujete. Takze znova (a naposled):

Tak si toho vsimnete a? Do te doby bude uz na lecos jiste pozde (data ukradena, spamy rozeslane, vas komp soucasti botnetu, ...). Nemluve o tom, ze verit tomu nebudete moct stejne, anzto si muze odchytit vas pristup na roota (jak jiz bylo receno!) a prohrabat se nekam dal.

Co se tyce vymeny ps, top a tak dal, nemuzete byt dal od pravdy nez jste. Muzu vam jako uzivateli podstrcit do cesty (PATH) jine programy, nebo sdilene knihovny (LD_PRELOAD, ...). Pokud udelate su nebo sudo a nepudete na roota rovnou z konzole, coz asi casto nedelate, ze (nebo lepe rovnou pouzit forenzni live cd, ktere jiste strkate do mechaniky aspon 2x denne?), muzu i tak zmenit vas uzivatelsky terminal tak abyste nic nevidel (a to jak terminalovy emulator pro X window tak skutecnou vc), ... no a seeing is believing, nebo ne?

Odstranit muzete jen to, o cem vite, ze tam je. Proto jsem se ptal, kolikrat denne kontrolujete kazdej proces co je zac a jestli neni 'subverted'...

Pusteni browseru pod specialnim uzivatelem samozrejme je cesta, a existuji i dalsi cesty, ale i Vy o tom mluvite v case budoucim a ne v pritomnem. A to je moje pointa - nastroje jsou, ale nevyuzivaji se. Pravdepodobne se zacnou pouzivat, az nekde nekdo ten zly mingetty najde.

Mam stroj up to date, pocinam si s rozumnou opatrnosti, do task listu se divam dost casto, i kdyz ne vzdy ho dusledne kontroluji. Nicmene i pri zbeznem nahledu, kdyz se divam, kdo mi zase loupe pernicek (CPU), bych si drive neceho asi vsiml. Treba ze mi bezi binarka z /home/jarda. Az bude hrozit malware na Linuxu, budu browsovat pod jinym userem nebo prejdu na zcela mensinovy browser. Pod Widows je lepsi browsovat na jinem pocitaci a ten pak obnovit z image.

Tak proc to nedelate hned - cekate az budete mit prvni mingetty zrovna Vy?

Predpokladam, ze se o riziku vcas dozvim, az se nachytaji prvni navstevnici pochybnych vebu, na ktere ja nelezu. BTW, kdysi jsem kvuli temhle vecem cetl bugtraq. Nevite nekdo, co se s nim stalo?

Mam na mysli bugtraq na usenetu. Nevim, jestli muj ISP je debil a bugtraq nebere nebo jestli to uz existuje jen jako mailing list.

Buffer overflow pri parsovani tagu? To je asi dost zjednodusene, ale proc by to musel byt jen JS? Cim slozitejsi system, tim nachylnejsi na chyby. Rendering je take dost slozity. Co nejaky specially crafted obrazek?

Kolik uzivatelu (lidi, ne systemovych uctu) mate na svem pc?

No a co byste delal kdyby vam nekdo kompromitoval 14% uctu na tom serveru?

A samozřejmě ve chvíli, když přijde první exploit, sranda bude o to větší. Ale jak tu bylo psáno, rozesílat spamy, šlehovat, případně mazat data uživatele lze bez kontextu roota.

možná je ignorant, možná je demagog, nicméně otázka je to k věci - co byste dělal, když se dozvíte, že máte kompromitované některé uživatelské účty?

Jinými slovy budete mít závažný problém. To nemluvě o situaci, kdy si malware běžící v kontextu uživatele stáhne modul, který využívá nějaku čerstvě objevenou díru (možná zítra, možná za dva měsíce).

Já číst umím. Zkuste se podívat, o čem je vlastně řeč:
http://www.root.cz/zpravicky/secunia-98-pocitacu-s-windows-je-zranitelnych/240391/

V krátkosti jde o tom, že malware nepotřebuje běžet v kontextu roota, aby mohl páchat škodu. Rozesílat spam, smazat či modifikovat uživateli data, odchytávat hesla atd. může v kontextu uživatele. Situace je úplně stejná, jako ve Windows.

Jestli já jsem za trolla, vy jste za blba. Ve Windows není everybody root by default. To je vaše smyšlenka. A musím vzpomenout třeba Linspire, kde svého času byl každý uživatel by default adminem.

Windows při instalaci zakládají jeden administrátorský účet (s upozorněním, že pod ním nemáte pracovat), a nabízí vytvoření uživatelských účtů. Ve firmách zaměstnanci typicky pracují jako restricted users. Domácí uživatelé si provádějí správu počítače sami, a použité nastavení odpovídá jejich znalostem a schopnostem. Někteří z nich i ve Vistě pracují pod adminem, a ještě si k tomu vypnou UAC.

Jinými slovy není pravda, že ve Windows je everybody root by default. Pokud jste tentýž anonym, který mě nazývá o kus jinde velmi hlasitě lhářem, tak se vážně zamyslete nad svým stylem diskuse. Když budete psát nesmysly, a křičet u toho na ostatní "trolle, lháři", tak z toho nebude nic dobrého.

Co je v praxi nepoužitelné? Windows když nejedete pod adminem? Tak to asi uživatelé ve firmách nepoužívají Windows :)

Ale zkuste se rozepsat o tom "kdyz v praxi je to nepouzitelne". Buď máte nějaká fakta, nebo jen tak poštěkáváte.

Nic, to řeší systrace :)