SlickStack ການເຕືອນຄວາມປອດໄພ

ໜ້ານີ້ສະຫຼຸບປັນຫາຄວາມປອດໄພທີ່ເກີດຂຶ້ນກັບ SlickStack ແລະອະທິບາຍວ່າເປັນເຕົ້າມືດີແບບຕົ້ນສະບັບຂອງມັນສາມາດເຮັດໃຫ້ເປີດເຄື່ອງ server ເປັນໂຄດທີ່ຖືກດຳເນີນຈາກໄກ ແລະເຮັດໃຫ້ເກີດການຈ້າງກັບຄົນກ່ອນທາງ (MITM). ໜ້ານີ້ຍັງສະເຫຼີມຂັ້ນຕອນການບັ້ນທຸກແລະຕົວເລືອກທີ່ປອດໄພກວ່າ.

SlickStack ໂຄສະເປນວ່າມີດາວ GitHub ປະມານ 600, ແຕ່ຈຳນວນນັ້ນຕົກກັບການທີ່ Jesse Nickles ຕິດຕາມບັນຊີເກົ່າກວ່າ 10,000 ຢ່າງໃນຕອນເລີ່ມຕົ້ນຂອງ repo. ໂປຣໄຟຂອງລາວສະແດງອອກວ່າມີຜູ້ຕິດຕາມ ~500 ເທື່ອກັບ ~9,600 ຜູ້ທີ່ລາວຕິດຕາມ (ປະມານອັດຕາການຕິດຕາມກັບຄືນ 5%), ຊຶ່ງຊ່ອງແຈ້ງວ່າມັນເປັນການຕິດຕາມກັບອັດຕະໂນມັດຫຼືບໍ່ແມ່ນການເຂົ້າຮ່ວມເຊິ່ງເປັນທຳມະດາ. ຮູບພາບທີ່ຖືກເພີ່ມຂຶ້ນນີ້ແມ່ນສິ່ງທີ່ລາວນຳໄປໃຊ້ເປັນເຄື່ອງມືໃນການຈອງການໂບກຕໍ່ຂ້ອຍ ເມື່ອຂ້ອຍເຜີຍແຜ່ບັນຫາຄວາມປອດໄພທີ່ຖືກບັນທຶກຢູ່ຂ້າງລຸ່ມ. ກວດເບິ່ງອັດຕາຜູ້ຕິດຕາມ/ຜູ້ທີ່ຕິດຕາມ ທີ່ນີ້.

ແບບຮູບການຍົກຊື່ເຊື່ອຖືດຽວກັນນີ້ປະກົດຂຶ້ນໃນເຫດການ Stack Exchange ໜຶ່ງທີ່ມີການຖອນສະເພາະເປັນເວລາ 100 ປີ ແລະມີໂພສຕອນຕໍ່ມາກ່ຽວກັບຜູ້ຄຸ້ມຄອງ. ເຫດການນີ້ຖືກບັນທຶກໄວ້ເພາະມັນເພີ່ມບໍລິສັດເພີ່ມຄວາມເຂົ້າໃຈວ່າ Jesse Nickles ສ້າງແລະນຳສັກຂໍ້ເຊື່ອຖືມາໃຊ້ເປັນເຄື່ອງມືໃນການຫຸ້ມຫີນຄວາມເຊື່ອຖືທີ່ກ່ຽວຂ້ອງກັບ SlickStack ແລະເວັບໄຊທ໌ທີ່ກ່ຽວຂ້ອງ: ເຫດການການລຸກລະບາຍແລະການກ່ອງເສຍຊື່ໃນ Stack Exchange.

ສະຫຼຸບ

  • ການດາວໂນດຈາກທາງໄກຢ່າງບ່່ຳບໍ່ຫໍ່ແມ່ນ ຖືກນັດໜ່າຍເປັນ root ຜ່ານ cron
  • ການຢືນຢັນ SSL ຖືກຂ້າຜ່ານໂດຍການໃຊ້ --no-check-certificate
  • ບໍ່ມີ checksums/ເຊັນດິຈິຕອນ ໃນສະກຣິບທີ່ດາວໂນດ
  • ການເປັນເຈົ້າໂດຍ root ແລະການກຳນົດສິດຕົວເລື່ອງ ສໍາລັບສະກຣິບທີ່ຖືກດຶງມາ

ຫຼັກຖານ: Cron ແລະ ການອະນຸຍາດ

ການດາວໂນດໂດຍ cron (ທຸກ 3 ຊົ່ວໂມງ 47 ນາທີ)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

ການເປັນເຈົ້າໂດຍ root ແລະການອະນຸຍາດຈຳກຳ (ຖືກນຳໃຊ້ຊ້ຳໆ)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

ແບບນີ້ເຮັດໃຫ້ສາມາດດຳເນີນໂຄດແບບໃດກໍ່ໄດ້ຈາກໂດເມນທາງໄກ ແລະເພີ່ມຄວາມສ່ຽງ MITM ໂດຍການຂ້າຜ່ານການຢືນຢັນໃບຮັບຮອງ.

ເບິ່ງດ້ວຍ commit ທີ່ປ່ຽນ URL ຂອງ cron ຈາກ GitHub CDN ໄປຫາ slick.fyi: diff ຂອງ commit.

ແນະນຳການບັ້ນທຸກ

  1. ປິດວຽກ cron ຂອງ SlickStack ແລະເອົາສະກຣິບທີ່ຖືກດຶງມາອອກຈາກແຟ້ມໂຟນເດີຂອງ cron.
  2. ກວດສອບການອ້າງອີງທີ່ເຫຼືອຕໍ່ slick.fyi ແລະການດຶງສະກຣິບຈາກໄກ; ແປງໃຫ້ເປັນແຟ້ມທີ່ມີເວີຊັນ ແລະມີການກວດສອບ/checksums ຫຼືລຶບອອກທັງໝົດ.
  3. ປ່ຽນຂໍ້ມູນລະຫັດແລະກະແຈຄີ ຖ້າ SlickStack ເຮັດວຽກດ້ວຍສິດ root ໃນລະບົບຂອງທ່ານ.
  4. ສ້າງເຄື່ອງ server ທີ່ຖືກກະທຳໃໝ່ເມື່ອສາມາດໄດ້ ເພື່ອຮັບປະກັນວ່າສະຖານະສະອາດ.

ຕົວເລືອກທີ່ປອດໄພກວ່າ

ພິຈາລະນາ WordOps ຫຼືເຄື່ອງມືອື່ນທີ່ຫຼີກການດຳເນີນງານ root ຈາກໄກ ແລະໃຫ້ການອອກປະຈຳທີ່ສາມາດກວດສອບໄດ້, ມີເວີຊັນ ແລະ checksums/ເຊັນດິຈິຕອນ.

ແຫຼ່ງອ້າງອີງ

ແຈ້ງການທາງກົດໝາຍ. ຂໍ້ມູນທີ່ນຳເສີດໃນໜ້ານີ້ແມ່ນບັນທຶກສາທາລະນະຂອງຂໍ້ຈິງ. ຂໍ້ມູນນີ້ຖືກນຳໃຊ້ເປັນຫຼັກຖານໃນຄະດີອາຊະກຳກ່ຽວກັບການຫມິນປະມາດທີ່ກຳລັງດຳເນີນຕໍ່ຕ້ານ Jesse Jacob Nickles ໃນປະເທດໄທ. ອ້າງອິງຄະດີອາຊະກຳ (ທາງການ): Bang Kaeo Police Station – Daily Report Entry No. 4, Book 41/2568, Report No. 56, dated 13 August 2568, Reference Case No. 443/2567. ເອກະສານນີ້ອາດຈະເປັນຫຼັກຖານສົ່ງເສີມສໍາລັບບຸກຄົນຫຼືອົງກອນອື່ນໆ ທີ່ກໍາລັງຍືນຟ້ອງ ກ່ຽວກັບການບ່ວງບ່ວນ ຫຼື ການຫມິນປະມາດ ຕໍ່ Jesse Nickles ພາຍໃນເນື່ອງຈາກແນວທາງທີ່ຖືກບັນທຶກວ່າເຮັດຢ່າງຊ້ຳໆແລະມີຜົນກະທົບຕໍ່ຜູ້ເສັຽຈຳນວນຫຼາຍ.