|
ru.internet.security
- RU.INTERNET.SECURITY ---------------------------------------------------------
From : Serguei E. Leontiev 2:5020/400 03 Oct 2001 22:25:32
To : Dmitry S. Rzhavin
Subject : Re: Попрощайтесь с IIS! Hаш комментарий к событиям
--------------------------------------------------------------------------------
Здравствуйте,
"Alexei Takaseev" <Alexei.Takaseev@p1.f22.n5071.z2.fidonet.org> wrote in
message news:1002114976@p1.f22.n5071.z2.ftn...
> 02 Oct 01, Serguei E. Leontiev ==. Evgueni Gavrilov:
> SL> То есть, Вы заранее согласны с тем, что, на пример, Sun гонит
> SL> "полуфабрикат" до сих пор предустанавливая Apache 1.3.12 на свои
> SL> Solaris-ы :)
> Можешь начать с него, раз такое дело.
:) Хочется занять место в партере? Счаз... Развлечений на халяву не бывает:)
> Заведение за корягу. Лучше признаться сразу, что ничего стоящего не
удумаешь.
Увы за свои слова надо отвечать. Правда это относится и к тем, кто Apache
нахваливает, подробности ниже.
"Dmitry S. Rzhavin" <dima@rt.ru> wrote in message
news:3BBB2218.6A7D769C@rt.ru...
> "Serguei E. Leontiev" wrote:
> > Здравствуйте,
> > "Evgueni Gavrilov" <Evgueni.Gavrilov@p530.f1.n5004.z2.fidonet.org> wrote
in
> > message news:1015873903@f1.n5004.z2.fidonet.ftn...
> > > Tue, 02 Oct 01 12:18:12 +0700 dima@rt.ru написАл:
> > > >> И могу Вас заверить, что на то чтобы написать "не детского" червя,
и на
> > > >> Apache, и на iPlanet, и на IIS, потребуется меньше недели сроку,
так
> > то:)
> > > >> См. списки ошибок по всем этим продуктам :)
> > > drr> ой, а интересно было бы посмотреть... Может, ради интереса,
> > > drr> продемонстрируете
> > > drr> червя для apache? За точку отсчета можно взять сегодня. То есть
через
> > > drr> неделю
> > > drr> провести тест на апаче, датированном 2.10.01. Вот только боюсь,
что
> > ^^^^^^^!
> > То есть, Вы заранее согласны с тем, что, на пример, Sun гонит
"полуфабрикат"
> > до сих пор предустанавливая Apache 1.3.12 на свои Solaris-ы :)
>
> нет, я взял текущий релиз. Думаю, ломать правильно отпатченный код будет
> еще сложнее. Можно взять любую версию, в которой нет известных на данный
Hо этот код не равноценен, тому на чём работал "Code Red".
> момент дыр. Я просто предложил версию, заведомо удовлетворяющую этому
> критерию. В Вашем заявлении был назван срок: неделя. Вот давайте (если,
> конечно, Вам это интересно), назначим дату начала эксперимента, возьмем
Эксперимент, эт можно. Hо условия слишком расплывчаты. Да и результат
(да/нет) будет не отделим от процесса.
Поэтому, если есть реальное желание провести эксперимент, предлагаю
потенциальному заказчику работы:
1. Взять "Russian Apache" любой версии, мы же русские люди;
2. Взять любую ОС удолетворяющую следующим условиям:
2.1 ЦП Intel;
2.2 Возможность работы по VMware (поддержка сетевой платы AMD);
2.3 Поддержка сетевой платы Intel EtherExpress 100B;
2.4 Без приставки trusted;
2.5 С исходниками;
3. Дополнительное ПО, которое должно обеспечивать:
3.1 встроенный поиск (русский);
3.2 SSI;
3.3 серверные скрипты на jsp или perl (к сожалению php не владею, поэтому не
желательно);
4. Краткое описание устройства этого WEB-сервера (состав, допустимое
функционирование, ссылки на описания компонентов). Объём - пара страниц;
4.1 Пример использования, которое, скажем, торгует ПО (учёт покупателей и
выдача ПО для загрузки) и содержит какое либо его описание;
5. Записать это всё с всеми исходными кодами на CD, с тем что-бы результат
мог быть установлен на голый компьютер;
6. Передать этот (эти) CD мне.
> свежий снап apache, и через неделю посмотрим на успехи.
Сроку мне 7 недель (это, по выходным, дай бог неделя чистого времени будет,
с учётом личной жизни).
А найти мне надо будет способ воздействия по IP с полосой не более 3
Мбит/сек на этот WEB-сервер или любую его часть, которое вызовет не
документированое (п. 4) воздействие на любой другой IP адрес или не
документированное функционирование другого клиента этого WEB-сервера.
Результатом служит неформальное описание ошибки с демонстрацией только для
заказчика. Результат не может быть опубликован или передан производителям
представленных средств или аналогичных. Очень краткую выдержку из результата
я обнародую.
> > > drr> работа
> > > drr> будет только на интерес...
> > > щас он скажыт шо без оплаты предварительной ничего не будет делать
*8-)))
> > Оплата, конечно желательна (по крайней мере совершенно ясны основания
для
> > вбухивания усилий в подтверждение сравнительно очевидных положений:)
> к сожалению, я не в праве выделить часть денег даже на оплату услуг
> проверки уровня безопасности, а своих по-просту жалко. Просто не для
> того мне их платят :)
В случае, если WEB-сервер окажется хорош, то оплаты за труды не возьму (от
сердца отрываю).
А если, он окажется плох, то оплата нужна. Могу взять работой в размере 14
человеко-дней в области защиты информации. Возможны иные варианты.
В общем, если есть интерес, дополняйте, исправляйтеи согласуйте.
--
LSE, Сергей Леонтьев, Крипто-Про, http://www.cryptopro.ru
--- ifmail v.2.15dev5
* Origin: MTU-Intel ISP (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
