|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Ivan Ushakov 2:5004/57.26 14 May 2003 17:05:06
To : Alexei Dets
Subject : полный контроль
--------------------------------------------------------------------------------
Среда Май 14 2003 00:06, Alexei Dets wrote to Sergio Karpenca:
>> NP> А раньше подобного доступа для скриптов не было?
>>
>> Я имею в виду то, что когда можно с помощью
>> скрипта даже просто пролистать иерархию сервера,
>> то это уже дырка, промах со стороны системного
>> администратора.
AD> И кто это тебе такое сказал??? Hу пролистал... И дальше чего?
Будем рассуждать логически. Раз возможно просмотреть иерархию сервера, и скрипт
явно на perl, то просмотр осуществляется с помощью банальной ls(а в скрипте
отсутствует или коряво сделанная фильтрация ввода). Отсюда следует что можно
использовать любые другие команды(ну с оговоркой на полученные нами права в
системе). После просмотра, можно поискать программы с bo, которые запускаются с
правами root, да и мало ли уязвимостей можно найти(ты, например, 100% уверен во
всех файлах и скриптах на твоей машине?).
Hо факт есть факт - возможность удаленного исполнения команд на сервере без
ведома администратора - есть событие, которое выйдет боком. И не обязательно,
что человек, использующий дырку в скрипте, является "скрипт киди", возможно он
просто использовал первое, что нашел. И дальше может быть хуже в двойне.
Ivan
... Расколбас под Drum and Bass :-]
--- np: MC Гопник - Круто ты попал на ЛаВе!
* Origin: ::[->Bom Shankar<-]:: (2:5004/57.26)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
