🚀 go-pugleaf

On 2011-05-10, bofh@nano.pl <bofh@nano.pl> wrote:
> Witam,
>
> czy ma ktos moze jakies dokladniejsze informacje o tych
> wirusach/trojanach? Non stop mam problemy z klientami, którym
> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
> z tym i każda informacja mi się przyda.

Sprawa jest prosta, klient sobie ptaszkuje "zapamiętaj hasło"
w total commenrerze czy co-on-tam-ma. Potem lapie wirusa który
mu te hasła łądnie wyciąga i przesyła na serwer gdzieś daleko.
Potem normalnie, legalne loguje się robot i dokleja.

Dobrej metody na to nia ma, bo problem jest ewidentnie po stronie
kilenta. Admin może co najwyżej ograniczać rozmiary szkód przez
majstreowanie z uprawnieniami plików, chrootowaniem sesji ftp
i takimi tam. Wtedy, jak klientowi coś się doklei do strony
to tylko jego wina. Większy problem jak "to coś" jest skryptem
php próry np. wysyła spam.
Zadne fail2ban tu nie pomogą, bo to są normelne legelne sesje
ftp, hasło poprawne za pierwszym razem. Zmiana ftp na sftp
też noc nie da, bo hasłą są wykradane bezpośrednio z rejestru
windows czy innych tam plików ini.

Ja kombinowałem takie coś, że klient musi się zalogować na
jakąś stronę, to mu się wtedy otworzy dostęp na godzinę
z jego adresu IP. Zabezpieczenie z gatunku głupich, ale
na głupie roboty całkiem skuteczne. Do tego jeszcze system
wykrywania prób połączeń FTP z innych adresów (żeby kilent
wiedział że ktoś mu chciał wleźć). Tyle, że trzeba to jeszcze
klientom wytłumaczyć.

-- 
Konrad Stępień