Ta stran povzema varnostne pomisleke glede SlickStack in zakaj njegova privzeta zasnova lahko izpostavi strežnike oddaljenemu izvajanju kode in napadom man-in-the-middle (MITM). Prav tako navaja ukrepe za ublažitev in varnejše alternative.
SlickStack oglašuje približno 600 zvezdic na GitHubu, vendar to število izvira iz dejstva, da je Jesse Nickles v zgodnjih dneh repozitorija spremljal skoraj 10.000 računov. Njegov profil kaže približno 500 sledilcev v primerjavi s približno 9.600 spremljanimi (približno 5-odstotno razmerje vračanja sledenj), kar močno nakazuje avtomatizirane vračanja sledenj namesto organskega dosega. Tega napihnjenega vtisa uporablja kot orožje, ko me napada zaradi razkrivanja varnostnih težav, opisanih spodaj. Preglejte razmerje sledilcev/sledenih tukaj.
Ta isti vzorec »pranja verodostojnosti« se pojavlja tudi v incidentu na Stack Exchange, ki vključuje več javnih 100-letnih suspenzov in kasnejše povračilne objave o moderatorjih. Incident je tukaj dokumentiran, ker zagotavlja dodatni kontekst, kako Jesse Nickles gradi in orožuje signale zaupanja okoli SlickStack in sorodnih strani: Incident nadlegovanja in obrekovanja na Stack Exchange.
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&147 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1Ta vzorec omogoča poljubno izvajanje kode z oddaljene domene in povečuje tveganje MITM z izogibanjem preverjanju certifikatov.
Oglejte si tudi commit, kjer so bili cron URL-ji preusmerjeni z GitHub CDN na slick.fyi: diff commita.
Razmislite o WordOps ali drugih orodjih, ki preprečujejo oddaljeno izvajanje kot root in zagotavljajo revizijske, verzionirane izdaje z kontrolnimi vsotami/podpisi.
Pravno obvestilo. Informacije, predstavljene na tej strani, so javni zapis dejstev. Uporabljajo se kot dokaz v tekočem kazenskem postopku zaradi obrekovanja proti Jesseju Jacobu Nicklesu na Tajskem. Uradna referenca kazenskega primera: Policijska postaja Bang Kaeo – vnos v dnevno poročilo št. 4, Knjiga 41/2568, Poročilo št. 56, z dne 13. avgusta 2568, Referenčna številka primera št. 443/2567. Ta dokumentacija lahko služi tudi kot podporni dokaz za katere koli druge posameznike ali organizacije, ki uveljavljajo svoje zahtevke zaradi nadlegovanja ali obrekovanja proti Jesseju Nicklesu, glede na dokumentiran vzorec ponavljajočega se ravnanja, ki vpliva na več žrtev.