Поделитесь своим мнением о вирусах в Linux

Writer написал:

Баг не есть вирус. Если предположить, что кто-то написал вирус под линь, то ему будет сложно скрыть себя. Репозитории защищены, домашние проекты на виду. Захочется ли злоумышленнику так себя подставлять?

Дело техники. Червяки вон вообще сами распространяются, исходное их гнездо вычислить очень непросто. Опять же, если мы вдруг узнаем, что член коммьюнити какого-нибудь дистра по имени linups_destroyer оказался диверсантом, это мало нам что дает. Ну разве что у злоумышленника был дефицит мозга и он при регистрации указал в анкете все свои данные (адрес, телефон и т.п.).

Господа! Еще раз прошу: покажите мне исходники хотя бы одного вируса иил червя под Линукс! Ну очень прошу!

Iskan Der

Внимательно, с выражением и по ролям перечитайте мои и ваши посты, предшествовавшие упоминанию конторы и содержащие онное. Сразу станет понятнее.

Я в выражениях настолько внимателен и корректен, так как воспитан и восприимчив, и прошу Вас воздержаться от Ваших замечаний, ибо не этично себя ведёте и вспыльчиво, когда Ваше мнение не совпадает с окружающим (смахивает на юношеский максимализм) уж извините.

Ну я искренне за вашу контору рад, только это как к делу относится? И потом, MacOS у вас тоже все держат? И на maccentre.ru тусуются?

Тему организаций подняли вы, пару постов выше, обратите внимание. По поводу МАС, да есть и МАСбуки, всё высшие руководство пользуется этой системой и админам приходится иметь дело и с ней, я не админ, поэтому только в качестве пользователя и познания иногда играюсь, а что собственно не так в МАС, Вы не поверите и SanOS стоит и BSD..., пользователь может выбрать сам себе ОС по его вкусу, лишь бы он выполнял свои обязанности, так в чём собственно проблема? И вообще является ли это проблемой для вас? Для меня это только большой плюс.

А что принципиально мешает злоумышленнику искать уязвимости сразу в ядре атакуемой системы (той же SuSe)?

То что баги ядра отслеживают уж поверьте не один человек, а целое сообщество, пок аон найдёт баг, его уже пофиксят.

Каким-каким... Через ту же дырку, через которую проникла предыдущая версия.

Повторю- каким образом? Дыру уже закрыли, путём обновления. всё таки читайте внимательнее, ну нельзя же так халатно.

А еще можно предположить, что юзер не обновляется каждые 10 минут (т.е. между выходом патча и его фактической установкой проходит время), что выявленные уязвимости не исправляются сиюминутно, что вирьмейкер, в отличие от пользователя, постоянно следит за багтрекером атакуемой системы на предмет появления сведений о новых дырах.

Опять Вы путаете Хакинг и вредоносное ПО. Взломать и получить доступ- это уважаемый, Хаккинг, фишинг, Крякинг называйте как Вам угодно. А мы ведь про вирусы и как они будут распространятся на компьютере пользователя. По поводу сиюминутного обновления, ну в пример меня, да и многих, обновления стоят получать автоматически.

Давайте будем конструктивны до конца: вы назовете мне дистрибутив линукса, установленный на 80-90% домашних ПК (исходный посыл темы, если помните), и я поищу под него червяков.

Ну наконец то ки smile Готов даже больше, готов протестировать вашего вируса червя на своей машине, ищем openSuse. Давайте, только помните условия распространения, хорошо smile

Hvzh
Сейчас Герман, нам найдут вирус на Сусе, хочешь со мной стать тестером этого чуда? wink

Я показал? Не понравились?
В инете есть исходники Морриса (старье, знаю) и нек-х червей (/tmp/.bugtrag.c). Но искать для тебя - влом, честно. Вы думаете, в инете просто так будут лежать исходники какого-нибудь червя?
Поставь Apache с модулем OpenSSL версий 0.9.6e или 0.9.7-beta и червь сам к тебе придет (возможно). Тогда ты и сможешь взять его исходники из /tmp/.bugtrag.c
Вот нашел:
http://packetstormsecurity.nl/0209-exploits/apache-linux.txt
кажется оно.

AndreyMust19

Я показал? Не понравились?

То что вы показали, то ещё нужно было собрать воедино, прописать пути и заставить это чудо автозапустится- сие не вирус, сие поделка программы шутера :lol:

В инете есть исходники Морриса (старье, знаю) и нек-х червей (/tmp/.bugtrag.c).

Ага, ещё в инете много чего есть, да. Но по видимому вы с Искандером и подняли количество запросов google о вирусах на линукс до первых строк :lol: :lol:

Но искать для тебя - влом, честно.

Чо за отношение, что за фарс?? Вы "ты"каите человеку которого даже не знаете. Он всего лишь Вас попросил подтверждения Ваших слов, а Вы так вульгарно, ай-ай-ай... :[

Вы думаете, в инете просто так будут лежать исходники какого-нибудь червя?

не вы что, о ни как Вы говорили выше- лежат в засаде и ждут 3х зелёных свистков или часа "ХЫ" :lol: :lol: :lol:

AndreyMust19 написал:

Вот нашел:
http://packetstormsecurity.nl/0209-expl … -linux.txt
кажется оно.

простите великодушно, а что означает нижеследующий код в предоставленном Вами эксплойте?

1)   Gentoo,    apache,         0x08086c34
2)   Debian,    apache 1.3.26,  0x080863cc
3)   Red-Hat,   apache 1.3.6,   0x080707ec
4)   Red-Hat,   apache 1.3.9,   0x0808ccc4
5)   Red-Hat,   apache 1.3.12,  0x0808f614
6)   Red-Hat,   apache 1.3.12,  0x0809251c
7)   Red-Hat,   apache 1.3.19,  0x0809af8c
8)   Red-Hat,   apache 1.3.20,  0x080994d4
9)   Red-Hat,   apache 1.3.26,  0x08161c14
10)  Red-Hat,   apache 1.3.23,  0x0808528c
11)  Red-Hat,   apache 1.3.22,  0x0808400c
12)  SuSE,      apache 1.3.12,  0x0809f54c
13)  SuSE,      apache 1.3.17,  0x08099984
14)  SuSE,      apache 1.3.19,  0x08099ec8
15)  SuSE,      apache 1.3.20,  0x08099da8
16)  SuSE,      apache 1.3.23,  0x08086168
17)  SuSE,      apache 1.3.23,  0x080861c8
18)  Mandrake,  apache 1.3.14,  0x0809d6c4
19)  Mandrake,  apache 1.3.19,  0x0809ea98
20)  Mandrake,  apache 1.3.20,  0x0809e97c
21)  Mandrake,  apache 1.3.23,  0x08086580
22)  Slackware, apache 1.3.26,  0x083d37fc
23)  Slackware, apache 1.3.26,  0x080b2100

особенно порадовало название первой функции :D

step_slim написал:

Я в выражениях настолько внимателен и корректен, так как воспитан и восприимчив, и прошу Вас воздержаться от Ваших замечаний, ибо не этично себя ведёте и вспыльчиво, когда Ваше мнение не совпадает с окружающим (смахивает на юношеский максимализм) уж извините.

Посыл понял. Осознал свою вину, меру/степень/глубину. Можем уже закрыть тему? :)

step_slim написал:

Тему организаций подняли вы, пару постов выше, обратите внимание. По поводу МАС, да есть и МАСбуки, всё высшие руководство пользуется этой системой и админам приходится иметь дело и с ней, я не админ, поэтому только в качестве пользователя и познания иногда играюсь, а что собственно не так в МАС, Вы не поверите и SanOS стоит и BSD..., пользователь может выбрать сам себе ОС по его вкусу, лишь бы он выполнял свои обязанности, так в чём собственно проблема? И вообще является ли это проблемой для вас?

Тему поднял я, а вы обратили внимание - к чему? Даже разъяснения давал впоследствии вроде.
Что до интереса других людей к разным ОС - для меня это проблемой не является ни разу, мне, если вдуматься, вообще без разницы, кто чем пользуется, лишь бы это дело делать не мешало.

step_slim написал:

То что баги ядра отслеживают уж поверьте не один человек, а целое сообщество, пок аон найдёт баг, его уже пофиксят.

Опять истории про всемогущее сообщество. Утомляет, однако. Если все так здорово обстоит, откуда же эксплойты под линукс появляются, как же его ломают?

step_slim написал:

Повторю- каким образом? Дыру уже закрыли, путём обновления. всё таки читайте внимательнее, ну нельзя же так халатно.

В третий раз призываю внимательнее читать, о чем речь. А речь шла о том, что любое обновление (не трогающее рассматриваемую уязвимость) делает вирус неработоспособным, ибо что-то где-то как-то фатально поменялось, хотя это и не привело к устранению уязвимости.
В ситуации, когда дыру закрыли, все пофиксили, понятное дело, вирус бессилен - так это в любой ОС так происходит.

step_slim написал:

Опять Вы путаете Хакинг и вредоносное ПО. Взломать и получить доступ- это уважаемый, Хаккинг, фишинг, Крякинг называйте как Вам угодно. А мы ведь про вирусы и как они будут распространятся на компьютере пользователя. По поводу сиюминутного обновления, ну в пример меня, да и многих, обновления стоят получать автоматически.

Разъясняю свою мысль подробнее: в некотором линукс-дистрибе ХХХ обнаруживается уязвимость, сообщение о чем помещается в багтрекер. Недобрый вирьмейкер по данным этого сообщения сочиняет эксплойт (или берет готовый), на его базе создает червя и пускает гулять по просторам интернета. К тому моменту, когда апдейт появится и будет установлен на клиентские машины, многие из них уже могут быть заражены.

step_slim написал:

Готов даже больше, готов протестировать вашего вируса червя на своей машине, ищем openSuse. Давайте, только помните условия распространения, хорошо smile

А OpenSUSE уже на 80% ПК появилась? Блин, опять проспал все самое интересное :)

step_slim

Чо за отношение, что за фарс??

Вообще-то я писал Hvzh, он просил показать ему исходники какой-нибудь гадости.
Не очень-то и хотелось искать. Но как видите, нашлось все-таки.

Termo

простите великодушно, а что означает нижеследующий код в предоставленном Вами эксплойте?

Это не код, это "AVAILABLE TARGETS", выводимые на экран. Код в struct archs

особенно порадовало название первой функции

Это еще не самое интересное:
int ...;
Воздерживаемся от ненормативной лексики!

Iskan Der

Опять истории про всемогущее сообщество. Утомляет, однако. Если все так здорово обстоит, откуда же эксплойты под линукс появляются, как же его ломают?

Ну дык, а куда без сообщества? oO На сим и живём на них и уповаим- если можно выразится так. Почему это вас так утомляет, быть может потому что осознаетё, что ключевую роль в развитии дистрибьютива играет как раз сообщество (группа людей по всему миру, энтузиастов), которые в массе своей гораздо умнее любой коммерческой компании. Так же членами сообщества можно назвать и людей сидящих на этом форуме, хоть раз в жизни, да кто то либо отсылал или отошлёт БагРепорт, либо делает это постоянно. И что вы хотите сказать, что это миф, сообщество? По поводу эксплоитов и ломалок, да есть прициденты, но процент настолько мал, что даже скуп по отношению ко всей массе. А ломают сервера- целенаправленно, атаками, а не при помощи "несуществующих" вирусов под данную ОС.

В третий раз призываю внимательнее читать, о чем речь. А речь шла о том, что любое обновление (не трогающее рассматриваемую уязвимость) делает вирус неработоспособным, ибо что-то где-то как-то фатально поменялось, хотя это и не привело к устранению уязвимости.
В ситуации, когда дыру закрыли, все пофиксили, понятное дело, вирус бессилен - так это в любой ОС так происходит.

Вот-вот, мы рассматриваем именно обновления ядра, что бы получить права суперпользователя, нам нужно именно подобраться к ядру- логику улавливаете, а обновления DE или приложений, ясное дело не в счёт.

Разъясняю свою мысль подробнее: в некотором линукс-дистрибе ХХХ обнаруживается уязвимость, сообщение о чем помещается в багтрекер. Недобрый вирьмейкер по данным этого сообщения сочиняет эксплойт (или берет готовый), на его базе создает червя и пускает гулять по просторам интернета. К тому моменту, когда апдейт появится и будет установлен на клиентские машины, многие из них уже могут быть заражены.

Я наверно сейчас произведу фурор заявив такое, но скажу: За всю историю существования открытого ПО, в частности открытой ОС, ещё не разу не один вирус не смог воспользоваться подобной уязвимостью самостоятельно, без целенаправленного вмешательства злоумышленников, зачастую группы лиц.

А OpenSUSE уже на 80% ПК появилась? Блин, опять проспал все самое интересное smile

Ну вот, вот она сущность человека и проявилась. К сведению openSuse входит в пятёрку лидеров по использованию на домашних ПК, так что скажу так- Красиво мажитесь, ой красиво, а ведь вначале говорили скажите, я найду, а теперь вот оно как 80%, а от чего? Как Вы посчитаете эти 80% компьютеров, это в мировом эквиваленте?? Железное алиби, но фэйк :lol: :lol:

AndreyMust19 написал:

step_slim

Чо за отношение, что за фарс??

Вообще-то я писал Hvzh, он просил показать ему исходники какой-нибудь гадости.
Не очень-то и хотелось искать. Но как видите, нашлось все-таки.

Где?? Где эта гадость? :lol: Я бы наоборот назвал это скриптом для админа, особенно аплодирую вот этому:

run: ./apache-ex <IP>

Это он так самораспостраняется?? :lol: Хорошо что этот вирус компилировать не нужно, да ещё иметь в наличие нестандартные библиотеки :lol: :lol: :lol:

step_slim написал:

Ну дык, а куда без сообщества? oO На сим и живём на них и уповаим- если можно выразится так. Почему это вас так утомляет, быть может потому что осознаетё, что ключевую роль в развитии дистрибьютива играет как раз сообщество...

Меня утомляет не сообщество, а слепая вера в его всемогущество: дескать, какая фигня ни произойди, сообщество оперативно ее поборет. Ну и тезисы вроде того, что сообщество "массе своей гораздо умнее любой коммерческой компании" тоже выглядит спорным. Опять же, "умнее" != "эффективнее", т.е. не факт, что эта умная масса будет работать быстрее и качественнее коллектива какой-то немаленькой компании.

step_slim написал:

По поводу эксплоитов и ломалок, да есть прициденты, но процент настолько мал, что даже скуп по отношению ко всей массе. А ломают сервера- целенаправленно, атаками, а не при помощи "несуществующих" вирусов под данную ОС.

Теми же способами можно ломать и клиентов: на базе эксплойта, сломавшего сервак, можно сделать червя, который самостоятельно будет драконить клиентов. Просто сейчас это никому не нужно.

step_slim написал:

Вот-вот, мы рассматриваем именно обновления ядра, что бы получить права суперпользователя, нам нужно именно подобраться к ядру- логику улавливаете, а обновления DE или приложений, ясное дело не в счёт.

Вы вообще о чем? о_О

step_slim написал:

Я наверно сейчас произведу фурор заявив такое, но скажу: За всю историю существования открытого ПО, в частности открытой ОС, ещё не разу не один вирус не смог воспользоваться подобной уязвимостью самостоятельно, без целенаправленного вмешательства злоумышленников, зачастую группы лиц.

Вы удивитесь, но даже в кривой и всячески некошерной винде вирус тоже исходно нужно как-то запустить, чтобы инициировать его деструктивную деятельность. Где разница?

step_slim написал:

Ну вот, вот она сущность человека и проявилась. К сведению openSuse входит в пятёрку лидеров по использованию на домашних ПК, так что скажу так- Красиво мажитесь, ой красиво, а ведь вначале говорили скажите, я найду, а теперь вот оно как 80%, а от чего? Как Вы посчитаете эти 80% компьютеров, это в мировом эквиваленте?? Железное алиби, но фэйк :lol: :lol:

Милейший, вы вообще за моими рассуждениями следите или просто отвечаете на две-три фразы вне контекста? Перечитайте первый пост темы и последние три-четыре страницы внимательно. Лучше вслух.

Ну вы даете. Это эксплоит, а не червь. Эксплоит использует дыру в злостных целях, а червь еще сам распространяется. По сути здесь только "отпирающий код". Чтобы получился "червь", добавьте функцию, которая будет запускать

./apache-ex <IP>

искать жертвы, скачивать исходники с пораженных компов, компилировать их и рапространяться дальше.

AndreyMust19,
Спасибо за пример. Вот только убил меня следующий комментарий из него:

"If successfully it will spawn a shell on port 30464 and then connect to it.
Then use another exploit to get r00t"

А вот этот вышеупомянутый "another" где брать?

AndreyMust19 написал:

Это не код, это "AVAILABLE TARGETS", выводимые на экран. Код в struct archs

там аналогичные версии Апача.
этим версиям сто лет в обед.
получается опять реально не работающий эксплойт...

Hvzh, тогда уж и перевод строки (краткий) будьте любезны!
как некрасиво. а где строка? :)
кстати, я забыл добавить, а exploit нацелен на Linux или Apache?

drBatty написал:

Teocally пишет:

Если червь сразу ломанется занимать все ресурсы, до каких дотянется, то да, его тут же вычислят. Если же он, как я сказал, будет вести себя осторожно, то заметят его очень нескоро.

Вообще-то это писал не я.
Будьте внимательнее, пожалуйста! :rolleyes:

Ну ребят.. Сколько можно плодить такие глупые темы.
Вы же все сдесь работаете в Линухе, если это не обман с вашей стороны. если вы знакомы хотябы поверхностно с архитектурой системы и тем как она работает... Вы должны понимать, что неможет быть вирусов....

Потому, что попадая в ваш компьютер любой файл, что б исполнить-ему нужно выставить бит исполняемости, в противном случае это обычный текстовый файл. как текстовый файл может быть вреден????

Далее, даже если предположить, что некая мега хитро-умная программа-вирус сама выставит бит исполняемости- то внести каких либо изменений в систему - всё равно не сможет, потому, что для этого нужны права Рута.

Система построена таким образом, что сложнее всего получить эти права. Только вот не нужно здесь выказывать малолетние крики малолетних хакеров утверждающих, что они ломали Никсы и получали эти самые права,
я вращаюсь в кругу умных программистов, разработчиков и просто любителей ОСей. Так вот никто и и никогда не смог поломать нормальную сконфигурированную систему.

И в истории нет таких случаев взлома Никс-систем чисто технически. Если ломали-то только методами социальной инженерии. То есть пароли и пр. просто выдуривали из лохов. а потом гордо кричали, что они поломали систему....

Просто не нужно быть лохом, вести правильную политику паролей, иметь хотя бы четыре пароля: одни на всякие инет форумы, один на почту, один в систему и один Рут-пароль и никакой вирус вам не будет страшен.

bastonc написал:

Вы должны понимать, что неможет быть вирусов

Ждём новую волну флейма :)

ну пусть мне кто нибудь покажет хоть один действующий вирус, прешлёт мне на почту, выложи тисходник. Хоть что нибудь. Выложили выше, но как заметили там же выше, сие чудо нужно запустить... и там уже на серверы перекинулись - вотношении серверов все мои слова остаються в силе, только предпринимаються дополнительные меры по кПРАВИЛЬНОЙ конфигурации Апача.. Что не так лекгко как может показать ся на первый взгляд, там нужен анализ взаимодействий всех модулей и прочего прочего. Чего в апаче много. И это отдельная тема.

Но изначально речь шла о десктоп системе. На которой такие вещи как апачь не стоят