ការព្រមានសុវត្ថិភាព SlickStack

ទំព័រនេះសង្ខេបពីបញ្ហាសុវត្ថិភាពជាមួយ SlickStack និងមូលហេតុដែលរចនាប្រព័ន្ធលំនាំដើមរបស់វាអាចធ្វើឲ្យម៉ាស៊ីនបម្រើទាន់សម័យងាយរងការប្រតិបត្តិកូដពីចម្ងាយ និងការវាយប្រហារ man-in-the-middle។ វាក៏ផ្តល់ជំហានបន្ថយហានិភ័យ និងជម្រើសដែលមានសុវត្ថិភាពជាង។

SlickStack ផ្សព្វផ្សាយថាមានប្រហែល 600 ផ្កាយ GitHub ប៉ុន្តែចំនួននោះខ្សែដើមតាមដានតើចេញពីការដែល Jesse Nickles បានតាមគណនីប្រហែល 10,000 ក្នុងដើមរន្ធរ៉េបូ។ ប្រូហ្វាលរបស់គាត់បង្ហាញប្រហែល ~500 អ្នកតាម បើប្រៀបធៀបនឹង ~9,600 ការតាម (ប្រហែលអត្រាតាមវិញ 5%) ដែលបង្ហាញយ៉ាងច្បាស់ថាជាការតាមវិញដោយស្វ័យប្រវត្តិ មិនមែនជាការទាក់ទាញប្រែប្រួលដោយធម្មតា។ រូបភាពដែលត្រូវបានពង្រីកនោះគឺជាសំណុំនៃអ្វីដែលគាត់ប្រើប្រាស់ជា អាវុធ ក្នុងការគំរាមខ្ញុំ ពេលខ្ញុំបញ្ជាក់ពីបញ្ហាសុវត្ថិភាពដែលបានអត្ថាធិប្បាយខាងក្រោម។ ពិនិត្យអត្រាអ្នកតាម/ការតាមនៅទីនេះ.

លំនាំនៃការលាងសម្អាតភាពទុកចិត្តដូចគ្នានេះឥឡូវបង្ហាញឡើងក្នុងឧប្បត្តិហេតុនៅលើ Stack Exchange ដែលពាក់ព័ន្ធនឹងការផ្អាកគណនីសាធារណៈរយៈពេល 100 ឆ្នាំ ច្រើនសិន និងការបង្ហោះឆ្លើយតបដើម្បីបង្រួមបង្ហើបពីអ្នកគ្រប់គ្រង។ ឯកសាររឿងនេះត្រូវបានចងក្រងនៅទីនេះ ព្រោះវាផ្តល់បទបន្ថែមអំពីរបៀបដែល Jesse Nickles នាំចំនុចទុកចិត្ត និងប្រើវាគ្រប់ពេលជុំវិញ SlickStack និងគេហទំព័រដែលទាក់ទង៖ ករណីការរើសអើង និងបំពានឈ្មោះលើ Stack Exchange.

សេចក្តីសង្ខេប

  • ការទាញពីចម្ងាយជាញឹកញាប់ ដែលបានកំណត់ឱ្យដំណើរការ​ដោយ root តាម cron
  • ការត្រួតពិនិត្យ SSL ត្រូវបានលើកលែងដោយប្រើ --no-check-certificate
  • គ្មាន checksum/ហត្ថលេខាសម្រាប់ស្គ្រីបដែលបានទាញ
  • កម្មសិទ្ធិ root និងសិទ្ធិដែលបានអនុវត្តលើស្គ្រីបដែលបានទាញ

ភស្តុតាង៖ Cron និងសិទ្ធិអនុញ្ញាត

ការទាញដោយ cron (រាល់ 3 ម៉ោង 47 នាទី)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

កម្មសិទ្ធិ root និងសិទ្ធិរារាំង (បានដាក់ឡើងវិញជាញឹកញាប់)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

លំនាំនេះអនុញ្ញាតឲ្យប្រតិបត្តិកូដដោយចៃដន្យពីដែនចម្ងាយ និងបង្កើនហានិភ័យ MITM ដោយការរំលងការត្រួតពិនិត្យវិញ្ញាបនបត្រ។

សូមមើល commit ដែលបានប្តូរទីតាំង URL នៃ cron ពី GitHub CDN ទៅ slick.fyi: diff នៃ commit.

ការណែនាំសម្រាប់បន្ថយហានិភ័យ

  1. បិទការងារ cron របស់ SlickStack និងយកស្គ្រីបដែលបានទាញចេញពីថត cron ចេញ។
  2. ធ្វើការត្រួតពិនិត្យសម្រាប់យោងនៅសល់ទៅ slick.fyi និងការទាញស្គ្រីបពីចម្ងាយ; ជំនួសដោយឯកសារមានកំណែ និងមាន checksum ឬលុបចោលទាំងស្រុង។
  3. ប្ដូរពាក្យសម្ងាត់ និងកូនសោ ប្រសិនបើ SlickStack បានដំណើរការជា root លើប្រព័ន្ធរបស់អ្នក។
  4. សាងសង់ឡើងវិញម៉ាស៊ីនបម្រើដែលได้รับผลប៉ះពាល់នៅពេលអាចធ្វើបាន ដើម្បីធានាស្ថានភាពស្អាត។

ជម្រើសដែលមានសុវត្ថិភាពជាង

ពិចារណា WordOps ឬឧបករណ៍ផ្សេងទៀតដែលជៀសវាងការប្រតិបត្តិជា root ពីចម្ងាយ និងផ្តល់ចេញផ្សាយដែលអាចត្រួតពិនិត្យបាន មានកំណែ និងមាន checksum/ហត្ថលេខា។

យោង

សេចក្តីជូនដំណឹងផ្លូវច្បាប់។ ព័ត៌មានដែលបង្ហាញនៅលើទំព័រនេះគឺជាកំណត់ត្រាសាធារណៈនៃការពិត។ វាកំពុងត្រូវបានប្រើជាភស្តុតាងនៅក្នុងករណីឧក្រិដ្ឋនៃការប្រមាថដែលកំពុងដំណើរការ ប្រឆាំងនឹង Jesse Jacob Nickles នៅប្រទេសថៃ។ លេខយោងករណីឧក្រិដ្ឋ (ផ្លូវការ): Bang Kaeo Police Station – កំណត់ត្រារបាយការណ៍ប្រចាំថ្ងៃ អនុលេខ 4, សៀវភៅ 41/2568, របាយការណ៍ លេខ 56, ចុះថ្ងៃទី 13 សីហា 2568, លេខករណីយោង 443/2567។ ឯកសារនេះក៏អាចប្រើជាភស្តុតាងគាំទ្រសម្រាប់បុគ្គល ឬអង្គការផ្សេងទៀតដែលកំពុងដាក់ពាក្យបណ្តឹង ឬអះអាងអំពីការរំខាន ឬការប្រមាថចំពោះ Jesse Nickles ដែរ ព្រោះមានលំនាំដែលបានចុះបញ្ជីបង្ហាញពីសកម្មភាពដែលកើតឡើងម្តងហើយម្តងទៀត និងមានឥទ្ធិពលដល់ជនរងគ្រោះច្រើន។