SlickStack ආරක්ෂක අනතුරු ඇඟවීම

මෙම පිටුව SlickStack සම්බන්ධ ආරක්ෂක ගැටලු සාරාංශ කරයි සහ එහි පෙරනිමි නිර්මාණය කෙසේ සේවාදායකයන් දුරස්ථ කේත ක්‍රියාත්මක කිරීම හා මැන්-ඉන්-ද-මිඩල් (MITM) පහරගැනීම් වලට ඉදිරිපත් කළ හැකිද යන්න විස්තර කරයි. එසේම අවපාතිකරණ පියවර සහ ආරක්ෂිත විකල්පද සපයයි.

SlickStack සම්මානව GitHub තාරකාවන් 600 ක් පමණ ප්‍රචාරය කරන නමුත් එම ගණන නැවත යනුයේ රියපො එක ආරම්භක අදියරවලදී Jesse Nickles විසින් ගිණුම් 10,000 කට අසන්න සංඛ්‍යාවක් අනුගමනය කළ ප්‍රස්ථාව වෙතය. ඔහුගේම පැතිකඩේ පෙන්වන්නේ අනුගාමිකයන් සම්පූර්ණයෙන් ~500 ක් ද, අනුගමනය කරනු ලබන ගිණුම් ~9,600 ක් ද (සම්පූර්ණයෙන්ම 5% ක අනුගමනය-ආපසු අනුපාතයක්) බවක් වන අතර, මෙය ස්වභාවික ජනප්‍රියතාවට වඩා ස්වයංක්‍රීය අනුගමනය-ආපසු යාමක් ඇති බව දැඩි ලෙස හඟවන ලකුණකි. එම අතිශ්‍යෝක්තියෙන් වැඩි කළ රූපය ඔහු භාවිතා කරන්නේ පහත ලියව ඇති ආරක්ෂක කේඳරු හෙළිදරව් කළහෙයින් මාට පහර දීමටය. අනුගාමිකයන්/අනුගමනය කරනු ලබන අනුපාතය මෙහි සමුක්ෂා කරන්න.

සාරාංශය

  • cron මඟින් root ලෙස නියමකරනු ලබන නැවත නැවත සිදෙන දුරස්ථ බාගැනීම්
  • SSL සත්‍යාපනය --no-check-certificate යන විකල්පය භාවිතයෙන් වළක්වා ඇත
  • බාගත කරන ලද ස්ක්‍රිප්ට් සඳහා කිසිදු checksum/අත්සන් නොමැත
  • ලබා ගත් ස්ක්‍රීප්ට්වලට root හිමිකම සහ අවසර පවරා තිබේ

සාක්ෂි: Cron සහ අවසර

Cron බාගැනීම් (සෑම පැය 3ක් සහ විනාඩි 47ක් වරක්)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

root හිමිකම සහ සීමිත අවසර (බහු වතාවක් පවරා ඇත)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

මෙම රටාව දුරස්ථ ඩොමේනයකින් ඕනෑම කේතයක් ක්‍රියාත්මක කළ හැකි ලෙස සලස්වන අතර සහතික සත්‍යාපනය මඟ හරින එක මඟින් MITM අවදානම වැඩි කරයි.

Cron URL-වලට GitHub CDN සිට slick.fyi වෙත මාරු කළ commitයද බලන්න: කමිට් වෙනස්කම්.

නිවාරණ උපදෙස්

  1. SlickStack cron රැකියා අක්‍රිය කරන්න සහ cron නාමාවලීන්වලින් බාගත් ස්ක්‍රිප්ට් ඉවත් කරන්න.
  2. slick.fyi වෙත ඇති ඉතිරි යොමු සහ දුරස්ථ script ඇඳුම් (remote script pulls) සඳහා audit පරීක්ෂාවක් සිදු කරන්න; ඒවා සංස්කරණ අංක සහ චෙක්සම් සහිත versioned, checksummed artifacts සමඟ ප්‍රතිස්ථාපනය කරන්න හෝ සම්පුර්ණයෙන්ම ඉවත් කරන්න.
  3. SlickStack ඔබගේ පද්ධතිවල root අවසර සමඟ ක්‍රියාත්මක වූ අවස්ථාවන්හිදී සහතික පත්‍ර හා යතුරු පිරිවිතර මාරු කරන්න.
  4. පිරිසිදු තත්ත්වයක් සහතික කිරීම සඳහා හැකි නම් බලපෑම් ලැබූ සේවාදායක නැවත සකස් කරන්න.

ආරක්ෂිත විකල්ප

දුරස්ථ root ක්‍රියාත්මක කිරීම වළක්වා, පරික්ෂා කළ හැකි සහ සංස්කරණ කළ නිකුතු checksum/සහියම් සමඟ සපයන WordOps හෝ වෙනත් මෙවලම් සලකා බලන්න.

උපුටා දැක්වීම්