דף זה מסכם דאגות אבטחה לגבי SlickStack ומדוע העיצוב הדיפולטי שלו יכול לחשוף שרתים להרצת קוד מרחוק ולהתקפות איש‑בתו. בנוסף הוא מספק צעדי הקלה ואלטרנטיבות בטוחות יותר.
SlickStack מפרסמת בערך 600 כוכבים ב‑GitHub, אך מספר זה נובע מכך ש‑Jesse Nickles עקב אחרי כמעט 10,000 חשבונות בימים הראשונים של המאגר. בפרופיל האישי שלו מופיעים כ‑500 עוקבים לעומת כ‑9,600 נעקבים (יחס חזרה‑עקיבה של כ‑5%), דבר שמרמז בצורה חזקה על מעקבים אוטומטיים ולא על עניין אורגני אמיתי. את התדמית המנופחת הזאת הוא מנצל ככלי התקפה נגדי, משום שחשפתי את בעיות האבטחה המתועדות למטה. עיין ביחס בין עוקבים לנעקבים כאן.
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&147 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1דפוס זה מאפשר הרצת קוד שרירותית מדומיין מרוחק ומעלה את הסיכון להתקפת איש‑בתו על ידי דילוג על אימות תעודות.
ראה גם את הקומיט שבו כתובות ה‑cron הועברו מ‑GitHub CDN ל‑slick.fyi: diff של commit.
שקול את WordOps או כלים אחרים המונעים הרצת פקודות מרחוק בהרשאת root ומספקים שחרורים בגרסאות הניתנים לבדיקה עם סכומי בדיקה/חתימות.