🚀 go-pugleaf

Tomasz Chmielewski <tch@nospam.wpkg.org> wrote:
>>>>> Skoro juz wracamy do jakichs zakurzonych raportow, to moze ten nada sie dobrze na flame'a? :)
>>>>
>>>>> http://googleonlinesecurity.blogspot.com/2007/06/web-server-software-and-malware.html
>>>>
>>>>> Apache - 66% rynku; IIS - 23% rynku.
>>>>
>>>>>          Compared to our sample of servers across the Internet,
>>>>>          Microsoft IIS features twice as often (49% vs. 23%) as
>>>>>          a malware distributing server.
>>>>
>>>>
>>>>> I jak z ta teoria, ze popularnosc platformy przyciaga tworcow malware?
>>>>
>>>> Nijak bo oprogramowanie serwera ma się nijak do malware dystrybuowanego
>>>> przez dany serwer. Mogę Ci podać od ręki kilka aktywnych serwerów
>>>> dystrybuujących malware stojących na Linuksie.
>>> Przeciez Google nie pisal, i nikt zdrowy na umysle by nie napisal, ze
>>> "zaden serwer z linuksem nie dystrybuuje malware".
>>
>> Próbuję Ci wyjaśnić że nieważne jest jaki pod spodem działa serwer www,
>> db czy system operacyjny. To nie w nich leży przyczyna większości
>> infekcji stron www.
> A to roznie bywa.

W większości wypadków jednak tak.

>> Ty naprawdę nie wiesz jak to działa czy udajesz? Przestępca właśnie
>> wykupuje tzw. bulletproof hosting + np. kit Zeusa + exploit kit.

> Albo przestepca ma X przejetych serwerow, ktore radosnie przeczesuja 
> sobie internet w poszukiwaniu kolejnych podatnych maszyn (bledy w 
> oprogramowaniu, proste hasla itp.). I tak dalej...
> Masz strasznie jednostronne postrzeganie swiata...

Piszę o typowych przypadkach na które są natychmiastowe przykłady. Ty o 
jakichś rzadko spotykanych.

>> I do
>> tego hosta kierowane są zapytania ze stron na które został wstrzyknięty
>> odpowiedni kod html+js.
> I rozumiem, ze na te strony kod "wstrzyknal sie" ot tak, droga kropelkowa?

CSRF, XSS, SQLi, wykradzione dane logowania, modyfikacja plików html już 
na komputerze właściciela strony i dopiero gdzieś na końcu błędy w 
serwerach www i db czy interprterach np. php.

>> Choćby raport googla[1] na temat jednego
>> darmowego hostingu, który stwierdza że w ciągu ostatnich 90 dni 224
>> strony kierowały na hosty należące do przestępców. Chyba nie będziesz
>> twierdził że te 224 strony zostały skompromitowane przez błędy w php,
>> nginx lub mysql.
> Nie mam pojecia, w jaki sposob zostaly skompromitowane. Ale strony 
> hodowcow pieskow, sprzedawcow kwiatow czy milosnikow modeli samolotow 
> nie wygladaja mi na "strony przestepcow".

To są tylko strony pośredniczące.

>>> Pewnie pare takich przypadkow bylo, ale mozna je policzyc na jednej
>>> rece. Co jest kropla w morzu innych.
>> Mniejszość jest przypadków gdy za pośredniczenie w dystrybucji malware
>> odpowiadają błędy w serwerach ww czy db.
> Jak nazwiesz "infekcje", ktora dostala sie na serwer www z powodu bledu 
> w oprogramowaniu (kod) jednej (!) strony - po czym z powodu bledow 
> koncepcyjnych serwera www rozprzestrzenila sie na wszystkie sto (!) czy 
> wiecej stron, hostowanych na tym serwerze?

Jeśli te zachowanie serwera było znane to nie widzę w nim winy.

-- 
Piotr Borkowski