Ten wpis pochodzi z naszego linkbloga *ptr, dlatego nie widać go na głównej. *ptr możesz czytać przez RSS albo przez sidebar po prawej stronie serwisu.
Na serwery, czy na bibliotekę standardową? Bo to zdaje się ftpd/proftpd próbuje wyołuje z biblioteki standardowej funkcję, która interpretuje konfigurację nss i jeśli ta konfiguracja prowadzi do użycia biblioteki nss_compact, to ta zostanie załadowana – ale nadal przez libc – dla procesu, który użył nss.
Z mojej pobieżnej analizy wynika, że całość wymaga chroota, serwera ftp bez privsepa (to wyjaśnia dlaczego pureftpd nie ma na liście), sendmaila lub sysloga dostępnego z chroota (jeśli użyty został jail, patrz pureftp), oraz – co ważne – możliwości sykonania ptrace przez serwer ftp. Ostatnia możliwość powinna być zdjęta MAC-em lub w jailu, więc PT_ATTACH się nie uda.
Marny 0-day moim zdaniem. Pomysł ciekawy, ale zbyt wiele rzeczy musiałoby zostać zrobione, przez administratora, po myśli atakującego.
Posłuchaj jednego z naszych 8 cyberwykładów. Wiedzę podajemy z humorem i w przystępny dla każdego pracownika sposób. Zdalnie lub u Ciebie w firmie. Kliknij tu i zobacz opisy wykładów!
Każdy powinien zobaczyć te webinary! Praktyczna wiedza i zrozumiały język. 6 topowych tematów — kliknij tutaj i zobacz szczegółowe opisy oraz darmowy webinar.
Posłuchaj jednego z naszych 8 cyberwykładów. Wiedzę podajemy z humorem i w przystępny dla każdego pracownika sposób. Zdalnie lub u Ciebie w firmie. Kliknij tu i zobacz opisy wykładów!
Każdy powinien zobaczyć te webinary! Praktyczna wiedza i zrozumiały język. 6 topowych tematów — kliknij tutaj i zobacz szczegółowe opisy oraz darmowy webinar.
Na serwery, czy na bibliotekę standardową? Bo to zdaje się ftpd/proftpd próbuje wyołuje z biblioteki standardowej funkcję, która interpretuje konfigurację nss i jeśli ta konfiguracja prowadzi do użycia biblioteki nss_compact, to ta zostanie załadowana – ale nadal przez libc – dla procesu, który użył nss.
Z mojej pobieżnej analizy wynika, że całość wymaga chroota, serwera ftp bez privsepa (to wyjaśnia dlaczego pureftpd nie ma na liście), sendmaila lub sysloga dostępnego z chroota (jeśli użyty został jail, patrz pureftp), oraz – co ważne – możliwości sykonania ptrace przez serwer ftp. Ostatnia możliwość powinna być zdjęta MAC-em lub w jailu, więc PT_ATTACH się nie uda.
Marny 0-day moim zdaniem. Pomysł ciekawy, ale zbyt wiele rzeczy musiałoby zostać zrobione, przez administratora, po myśli atakującego.