एसएसएच सर्वर शून्य-दिन का शोषण - खुद को बचाने के लिए सुझाव

Question

इंटरनेट स्टॉर्म सेंटर के अनुसार , एसएसएच शून्य-दिन का शोषण होने लगता है।

यहाँ कुछ अवधारणा कोड का प्रमाण है और कुछ संदर्भ:

• http://secer.org/hacktools/0day-openssh-remote-exploit.html
• http://isc.sans.org/diary.html?storyid=6742

यह एक गंभीर मुद्दा लगता है, इसलिए हर लिनक्स / यूनिक्स सिस्टम प्रशासक को सावधान रहना चाहिए।

यदि हम इस मुद्दे को समय पर नहीं सुलझाते हैं तो हम अपनी सुरक्षा कैसे करेंगे? या आप सामान्य रूप से शून्य-दिन के कारनामों को कैसे संभालते हैं?

* मैं अपना सुझाव उत्तर में पोस्ट करूंगा।

Comments

यह कितना वास्तविक है? इस अफवाह के सबसे मूल स्रोत के रूप में एक छोटा सा googletrolling seclists.org/fulldisclos/2009/Jul/0028.html हो गया । किसी के पास इसका स्वतंत्र सत्यापन है?

— क्रिस

इस मुद्दे के बारे में हैकर समाचार पर बहुत अच्छी टिप्पणी: news.ycombinator.com/item?id=692036

— सुपुरी

Answer 1

डेमियन मिलर (ओपनएसएसएच डेवलपर) की टिप्पणी: http://lwn.net/Articles/340483/

विशेष रूप से, मैंने एक पैकेट ट्रेस का विश्लेषण करने में कुछ समय बिताया जो उसने प्रदान किया था, लेकिन यह सरल जानवर-बल के हमलों से मिलकर लगता है।

इसलिए, मैं इस बात का पीछा नहीं कर रहा हूं कि एक 0day बिल्कुल मौजूद है। अब तक के एकमात्र सबूत कुछ गुमनाम अफवाहें और अपरिहार्य घुसपैठ टेप हैं।

Comments

मुझे लगता है कि हम उनके शब्द अभी के लिए ले सकते हैं ...

— सुकरी

Answer 2

मेरा सुझाव है कि अपने आईपी के अलावा बाकी सभी के लिए फ़ायरवॉल पर एसएसएच पहुंच को अवरुद्ध करें। Iptables पर:

/sbin/iptables -A INPUT --source <yourip> -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j DROP

Answer 3

इसलिए SANS पोस्ट के अनुसार, यह शोषण है does not work against current versions of SSH, और इस तरह वास्तव में एक 0day नहीं है। अपने सर्वर को पैच करें, और आपको ठीक होना चाहिए।

Comments

तकनीकी रूप से यह एक 0-दिन का शोषण (प्रकाशित और अज्ञात नहीं) है, लेकिन यह केवल SSH के पुराने संस्करणों पर काम करता है। हालांकि, आरएचईएल, फेडोरा पर डिफ़ॉल्ट संस्करण (दूसरी पोस्ट के अनुसार) असुरक्षित हैं। तो, यह एक बड़ा मुद्दा है अगर आपके वितरण से कोई पैच नहीं है (जब तक कि आप स्रोत से

— एसएच का

वे अटकलें हैं कि हमले लॉग पर आधारित है। कोई भी निश्चित रूप से नहीं जानता है ... यहां तक ​​कि नवीनतम संस्करण भी कमजोर हो सकता है

— सुक्रुरी जूल

Answer 4

अपने विक्रेताओं से शिकायत करें

इस तरह हर कोई नया संस्करण प्राप्त करता है।

Answer 5

FYI करें, कहानी का मूल स्रोत: http://romeo.copyandpaste.info/txt/ssanz-pwned.txt

इसी तरह की दो कहानियां (astalavista.com और एक अन्य साइट को हैक करना) हैं: romeo.copyandpaste.info/txt/astalavista.txt
romeo.copyandpaste.info/txt/nowayout.txt

ऐसा लगता है कि किसी के पास एक एजेंडा है: romeo.copyandpaste.info/ ("0 दिन निजी रखें")

Comments

माना। मूल लॉग्स के पीछे समूह ने इसे "सुरक्षा उद्योग" के साथ खिलवाड़ करने के लिए एक मिशन वक्तव्य दिया है - और इससे बेहतर क्या हो सकता है कि "omg! खुलने का दिन 0 के बारे में हंगामा हो रहा है?" यह / इसके साथ हैक? "

— cji

यह पहली बार नहीं होगा कि इस तरह की अफवाहें और प्रचार गलत निकले हों।

— डैन कार्ले जूल 8'09

Answer 6

मैं SSH को tcprules का उपयोग करने के लिए संकलित करता हूं, और सभी के लिए इनकार करते हुए, नियमों की एक छोटी संख्या है।

यह यह भी सुनिश्चित करता है कि पासवर्ड प्रयास बहुत कम समाप्त हो गए हैं, और जब मुझे ब्रेकिन प्रयासों के बारे में रिपोर्ट भेजी जाती है, तो मैं उन्हें गंभीरता से ले सकता हूं।

Answer 7

मैं पोर्ट 22 पर ssh नहीं चलाता हूं। चूंकि मैं अक्सर विभिन्न मशीनों से लॉगिन करता हूं, इसलिए मुझे iptables के माध्यम से पहुंच को रोकना पसंद नहीं है ।

यह शून्य-दिन के हमलों के खिलाफ अच्छी सुरक्षा है - जो निश्चित रूप से डिफ़ॉल्ट कॉन्फ़िगरेशन के बाद जाएगा। यह किसी ऐसे व्यक्ति के खिलाफ कम प्रभावी है जो सिर्फ मेरे सर्वर से समझौता करने की कोशिश कर रहा है। एक पोर्ट स्कैन दिखाएगा कि मैं किस पोर्ट पर ssh चला रहा हूं, लेकिन यादृच्छिक SSH पोर्ट पर हमला करने वाली स्क्रिप्ट मेरे होस्ट पर छोड़ देगी।

अपना पोर्ट बदलने के लिए, बस अपने / etc / ssh / sshd_config फ़ाइल में पोर्ट जोड़ें / संशोधित करें ।

Comments

एक गैर-मानक बंदरगाह पर एसएसएच चलाने से ऐसा लगता है कि इसके अधीन होने वाले जानवर-बल के हमलों की मात्रा कम हो सकती है, और संभवतः आपको अधिकांश कीड़े से बचाएंगे। हालांकि, यह किसी के खिलाफ मैन्युअल रूप से चीजों को स्कैन करने के लिए एक रक्षा नहीं है, और भविष्य में एक कीड़ा भविष्य में बस बंदरगाह को खोज सकता है जो

— एसएचएस की

@ मार्कर: यह एक निर्धारित 'पटाखा / किडी / हैकर' को रोक नहीं सकता है, लेकिन यह एक तय होने तक बॉट को खाड़ी में रखेगा। कि सबसे महत्वपूर्ण imho है।

— एंड्रियाइड

Answer 8

मैं फ़ायरवॉल और प्रतीक्षा करूँगा। मेरी आंत वृत्ति दो चीजों में से एक है:

ए> होक्स। अब तक दी गई छोटी और छूटी जानकारी से, यह या तो यह है ..

या ...

B> यह एक "धूम्रपान और धोखे" का प्रयास है, जिससे 4.3 पर चिंता हो सकती है। क्यों? क्या होगा अगर आप, कुछ हैकर संगठन, sshd 5.2 में एक बहुत अच्छा शून्य-दिन का शोषण पाते हैं।

बहुत बुरा केवल अत्याधुनिक रिलीज (फेडोरा) इस संस्करण को शामिल करता है। उत्पादन में कोई पर्याप्त संस्थाएं इसका उपयोग नहीं करती हैं। RHEL / CentOS का भरपूर उपयोग। बड़ा निशाना। यह सभी प्रकार के बुनियादी संस्करण नियंत्रण को बनाए रखने के लिए अपनी सभी सुरक्षा सुधारों के लिए आरएचईएल / सेंटो बैकपोर्ट के लिए अच्छी तरह से जाना जाता है। इसके पीछे की टीमों को छींकना नहीं है। आरएचईएल ने पोस्ट किया है (मैंने पढ़ा है, लिंक खोदना होगा) कि वे 4.3 में किसी भी दोष को खोजने के सभी प्रयासों को समाप्त कर चुके हैं। शब्दों को हल्के में नहीं लिया जाना चाहिए।

तो, वापस विचार करने के लिए। एक हैकर किसी तरह 4.3 के बारे में हलचल पैदा करने का फैसला करता है, जिससे यूजी से 5.2p1 तक बड़े पैमाने पर उन्माद होता है। मैं पूछता हूं: आप में से कितने पहले से ही हैं?

मिसकॉलिज़न के लिए कुछ "प्रमाण" बनाने के लिए, सभी "उक्त समूह" को करना होगा अब कुछ पहले से समझौता किए गए सिस्टम ( WHMCS ? पिछला SSH?) को संभालना होगा , कुछ अर्ध-सत्य (अटैक-ई) सत्यापित के साथ कुछ लॉग बनाएं? हुआ, अभी तक कुछ चीजें लक्ष्य से अपरिवर्तित हैं) किसी को "काटने" की उम्मीद है। बढ़ती चिंता और भ्रम के बीच इसे थोड़ा और अधिक गंभीर (... HostGator ...) करने के लिए यह एक बड़ी इकाई है।

कई बड़ी इकाइयां बैकपोर्ट कर सकती हैं, लेकिन कुछ बस अपग्रेड कर सकती हैं। वे जो अपग्रेड करते हैं, अब वास्तविक शून्य-दिन के हमले के लिए खुले हैं और अभी तक कोई खुलासा नहीं हुआ है।

मैंने देखा है अजनबी चीजें होती हैं। जैसे, मशहूर हस्तियों का एक झुंड सभी एक पंक्ति में मर रहा है ...

Answer 9

टेलनेट पर स्विच करें? :)

यदि आप अपने फ़ायरवॉल को ठीक से कॉन्फ़िगर करते हैं, तो यह मज़ाक में है, यह पहले से ही केवल कुछ मेजबानों तक एसएसएच की पहुँच की अनुमति देता है। इसलिए आप सुरक्षित हैं।

नवीनतम लिनक्स वितरण पर मौजूद पुराने संस्करणों का उपयोग करने के बजाय, स्रोत से SSH को स्थापित करने के लिए एक त्वरित निर्धारण हो सकता है (इसे Opensh.org से डाउनलोड करके)।

Comments

Kerberized टेलनेट वास्तव में काफी सुरक्षित है। केर्बोस के बारे में अच्छी बात यह है कि यदि आप चाहते हैं, तो ssh के विपरीत जहाँ आपको प्रत्येक होस्ट पर जाना है और प्रत्येक अधिकृत_की फ़ाइल से एक कुंजी निकालना है, तो आप केंद्रीय रूप से एक कुंजी को रद्द कर सकते हैं।

— क्रिस