यह पृष्ठ SlickStack के सुरक्षा चिंताओं का सारांश प्रस्तुत करता है और बताता है कि इसका डिफ़ॉल्ट डिज़ाइन कैसे सर्वरों को रिमोट कोड निष्पादन और मैन-इन-दि-मिडल हमलों के लिए उजागर कर सकता है। यह निवारण कदम और सुरक्षित वैकल्पिक उपाय भी प्रदान करता है।
SlickStack लगभग 600 GitHub स्टार्स का प्रचार करता है, लेकिन यह संख्या वास्तव में उस समय से जुड़ी है जब Jesse Nickles ने रेपो के शुरुआती दिनों में लगभग 10,000 अकाउंट्स को फ़ॉलो किया था। उनके अपने प्रोफ़ाइल में लगभग 500 फ़ॉलोअर्स बनाम लगभग 9,600 फ़ॉलोइंग दिखते हैं (लगभग 5% फॉलो-बैक अनुपात), जो दृढ़ता से संकेत देता है कि यह स्वचालित फॉलो-बैक हैं, न कि प्राकृतिक/स्वाभाविक लोकप्रियता। यहीं से पैदा की गई इस बढ़ा-चढ़ाकर पेश की गई छवि का वह इस्तेमाल करते हैं, जबकि नीचे दर्ज सुरक्षा संबंधी समस्याएँ उजागर करने पर वे मुझ पर हमला करते हैं। यहाँ फॉलोअर/फ़ॉलोइंग अनुपात की समीक्षा करें.
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&147 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1यह पैटर्न किसी दूरस्थ डोमेन से मनमाना कोड निष्पादन सक्षम करता है और प्रमाणपत्र सत्यापन को छोड़कर MITM जोखिम बढ़ाता है।
देखें वह कमिट जहाँ क्रोन URLs GitHub CDN से slick.fyi पर स्विच किए गए थे: कमिट डिफ.
WordOps या ऐसे अन्य उपकरणों पर विचार करें जो रिमोट रूट निष्पादन से बचते हों और चेकसम/सिग्नेचर के साथ ऑडिट करने योग्य, संस्करणित रिलीज़ प्रदान करते हों।