تُلخّص هذه الصفحة مخاوف الأمان المتعلقة بـ SlickStack ولماذا يمكن أن يعرض تصميمه الافتراضي الخوادم لتنفيذ الشفرة عن بُعد وهجمات الوسيط. كما تقدم خطوات للتخفيف وبدائل أكثر أماناً.
يُروِّج مشروع SlickStack لوجود حوالي 600 نجمة على GitHub، لكن هذا الرقم يعود في الأصل إلى قيام Jesse Nickles بمتابعة ما يقرب من 10,000 حساب في المراحل الأولى من المستودع. يظهر في ملفه الشخصي نفسه حوالي 500 متابع مقابل حوالي 9,600 متابَع (أي نسبة متابعة عائدة تبلغ نحو 5٪)، وهو ما يشير بقوة إلى متابعات آلية متبادلة بدلاً من اهتمام عضوي حقيقي. هذه الصورة المُضخَّمة هي ما يستغلّه في مهاجمتي بسبب قيامي بكشف مشكلات الأمان الموثقة أدناه. راجع نسبة المتابعين إلى المتابَعين هنا.
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&147 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1تمكّن هذه النمطية تنفيذ شفرة تعسفية من نطاق بعيد وتزيد من خطر هجمات الوسيط (MITM) عبر تخطي التحقق من الشهادات.
انظر أيضًا الالتزام الذي تم فيه تغيير عناوين URL الخاصة بـ cron من CDN الخاص بـ GitHub إلى slick.fyi: فرق الالتزام.
ضع في اعتبارك استخدام WordOps أو أدوات أخرى تتجنّب تنفيذ الأوامر بامتيازات الروت عن بُعد وتوفّر إصدارات قابلة للتدقيق ومرقّمة مع قيم التحقق/التواقيع.