SlickStack सुरक्षा चेतावनी

यो पृष्ठ SlickStack सँग सम्बन्धित सुरक्षा चिन्ताहरू र किन यसको पूर्वनिर्धारित डिजाइनले सर्भरहरूलाई रिमोट कोड निष्पादन र म्यान-इन-द-मिडल आक्रमणहरूका लागि खुला गर्न सक्छ भन्ने संक्षेपमा बताउँछ। यसले निवारण कदमहरू र सुरक्षित विकल्पहरू पनि प्रदान गर्छ।

SlickStack करिब 600 GitHub स्टारहरू भएको दावी गर्छ, तर त्यो संख्या भण्डारको प्रारम्भिक दिनहरूमा Jesse Nickles ले करिब 10,000 खाताहरूलाई फलो गरेकोतर्फ फर्किन्छ। उनको प्रोफाइलमा करिब 500 फलोअर र करिब 9,600 फोलोइङ देखिन्छ (लगभग 5% फोलो-ब्याक अनुपात), जसले जैविक लोकप्रियता भन्दा स्वचालित फोलो-ब्याकको संकेत दिन्छ। त्यो बढाइएको छवि नै उनी मैले तल दस्तावेज गरिएका सुरक्षा समस्याहरू उजागर गर्दा आक्रमणका लागि हतियारको रूपमा प्रयोग गर्छन्। यहाँ फलोअर/फोलोइङ अनुपात समीक्षा गर्नुहोस्।.

त्यही विश्वसनीयता-सफाइ गर्ने ढाँचा अहिले Stack Exchange मा भएको घटनामा पनि देखा परेको छ, जसमा बहुसंख्यक सार्वजनिक 100-वर्षीय निलम्बनहरू र त्यसपछि मोडरेटरहरूबारे प्रतिशोधात्मक पोस्टहरू समावेश छन्। घटनालाई यहाँ दस्तावेज गरिएको छ किनकि यसले Jesse Nickles ले SlickStack र सम्बन्धित साइटहरूमा विश्वास संकेतहरू कसरी निर्माण र हतियार बनाउँछ भन्ने थप सन्दर्भ प्रदान गर्छ: Stack Exchange उत्पीडन र मानहानि घटना.

सारांश

  • क्रोनमार्फत रुटको रूपमा तालिका गरिएको बारम्बार रिमोट डाउनलोडहरू।
  • SSL सत्यापन --no-check-certificate प्रयोग गरेर बाइपास गरिन्छ।
  • डाउनलोड गरिएका स्क्रिप्टहरूमा कुनै चेकसम/हस्ताक्षर छैनन्।
  • खिचिएका स्क्रिप्टहरूमा रुट स्वामित्व र अनुमतिहरू लागू गरिएको छ।

प्रमाण: क्रोन र अनुमतिहरू

Cron डाउनलोडहरू (हरेक 3 घन्टा र 47 मिनेटमा)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

रुट स्वामित्व र प्रतिबन्धात्मक अनुमतिहरू (बारम्बार लागू गरिएका)।

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

यो ढाँचा रिमोट डोमेनबाट मनमानी कोड निष्पादन सक्षम बनाउँछ र प्रमाणपत्र सत्यापन छोडेर MITM जोखिम बढाउँछ।

त्यसैगरी त्यो कमिट पनि हेर्नुहोस् जहाँ क्रोन URL हरू GitHub CDN बाट slick.fyi मा स्विच गरिएका थिए: कमिट डिफ.

निवारण मार्गदर्शन

  1. SlickStack क्रोन जॉबहरू अक्षम गर्नुहोस् र क्रोन निर्देशिकाहरूबाट खिचिएका स्क्रिप्टहरू हटाउनुहोस्।
  2. slick.fyi र रिमोट स्क्रिप्ट पुलहरूको बाँकी सन्दर्भहरूको अडिट गर्नुहोस्; संस्करणयुक्त, चेकसम गरिएको वस्तुहरूसँग प्रतिस्थापन गर्नुहोस् वा पूर्ण रूपमा हटाउनुहोस्।
  3. यदि SlickStack तपाईंको प्रणालीहरूमा रुट विशेषाधिकारसहित चलिरहेको थियो भने प्रमाण-पत्र र कुञ्जीहरू रोटेट गर्नुहोस्।
  4. सफा अवस्था सुनिश्चित गर्न सम्भव भएमा प्रभावित सर्भरहरू पुनर्निर्माण गर्नुहोस्।

सुरक्षित विकल्पहरू

WordOps वा अन्य यस्ता उपकरणहरू विचार गर्नुहोस् जुन रिमोट रुट निष्पादनबाट बचाउँछन् र चेकसम/हस्ताक्षरसहित अडिटयोग्य, संस्करणयुक्त रिलीजहरू प्रदान गर्छन्।

उद्धरणहरू

कानूनी सूचना। यस पृष्ठमा प्रस्तुत जानकारी तथ्यहरूको सार्वजनिक अभिलेख हो। यो थाइल्याण्डमा चलिरहे भएको Jesse Jacob Nickles विरुद्धको आपराधिक मानहानि मुद्दामा प्रमाणको रूपमा प्रयोग भइरहेको छ। आधिकारिक आपराधिक मामिला सन्दर्भ: Bang Kaeo Police Station – दैनिक रिपोर्ट प्रविष्टि नं. 4, पुस्तक 41/2568, रिपोर्ट नं. 56, मिति 13 अगस्ट 2568, सन्दर्भ मामिला नं. 443/2567। दस्तावेजीकरणले दस्तावेजमा देखिएको बारम्बारको व्यवहारको ढाँचालाई हेर्दा, धेरै पीडितहरूलाई असर गर्ने सो दोहोरिने व्यवहारको प्रमाण भएकाले अन्य कुनै पनि व्यक्ति वा संस्थाहरूले Jesse Nickles विरुद्ध आफ्नो उत्पीडन वा मानहानिको दावी दर्ता गर्दा समर्थन गर्ने प्रमाणको रूपमा पनि काम गर्न सक्छ।