у меня установка/удаление приложений
там этих приложений мама не горюй!
LinuxForum.Fans
Поделитесь своим мнением о вирусах в Linux
Автор: Writer
220 сообщений
37468 просмотров
Видишь суслика?
— Нет.
— И я не вижу. А он есть!
Видишь суслика?
— Нет.
— И я не вижу. Cусликов не существует!
И все-таки он существует! Snickers с лесными орехами.
изменяемость.
или изменчивость
называйте это как хотите.
Linux - это динамическая система.
сегодня у меня Qt, завтра gtk.
сегодня у меня одно ядро, завтра другое.
бац! и внезапно (для подлого вируса) вышли новые версии системных библиотек.
и чо делать бедному трояну?
девиз: наша сила - в наших глюках! :D
Сие в определенной степени справедливо, может, для какого-нибудь арча. В остальных системах библиотеки меняются не так уж и часто, а иногда их обновление даже не ломает их ABI. Ядро, я полагаю, нормальные люди тоже по десять раз на дню не пересобирают. Т.о., бедный троян может прожить в системе достаточно долго, чтобы успеть основательно нагадить.
Наверно не толковые ребята, да?
Мож и толковые, но ленивые дюже :)
Да и мало какой пользователь сдержится, что бы не поэкспериментировать с "ядерной физикой" тем более так заманчиво звучит лозунг- сделай свою систему легче и быстрее
Вы слишком высокого мнения о пользователях. Большинство лишнюю кнопку нажать боится, а вы тут про ядро.
КакбЭ Вы сейчас меня лгуном обозвали, ды?
Тогда пост 120, Ваш коллега AndreyMust19, активно опирается на доказательство долгожителей червей.
КакбЭ ув. AndreyMust19 мне вроде коллегой не является (сей ресурс в моей конторе вообще особой популярностью не пользуется) и мнение об обязательном долгожительстве червей лично я считаю спорным.
Я лишь поэтому сделал вывод о неком партизане паразите сидящим в системе и ждущим когда ему пришлют 3 зелёных свистка- настоящий диверсант :lol: А если время "ХЭ" наступит спустя год, например, как партизан будет себя вести в условиях изменившейся протокольной обстановки, а так же отсутсвие\модернезирование управляющего органа?
Это уже все детали реализации. Замену ему пришлют или еще что. Никто не говорил, что 100% вирусных атак являются успешными.
Элементарно - официальные пакеты с репозитория, подвергнутые "обработке"
каким образом вы "обработаете" пакет, не нашив ЭЦП?
или с неофициальных репозиториев.
ССЗБ. Но там тоже подпись, и люди на них отслеживают изменения. Про CVS вы я надеюсь слышали? Вот и попробуйте поменять содержимое любой репки, даже имея к ней полный доступ - это сразу-же увидят ВСЕ участники проекта, даже те, у кого RO доступ (т.е. ВСЕ). Они увидят, кто, когда, и какие строчки изменил, даже если в проекте сотни тысяч строк и десятки тысяч файлов. Мы не в 50х годах прошлого века живём.
Выкинут вас из этого проекта, и в другие потом не возьмут...
Я уже неоднократно говорил что файловые вирусы невыгодны для linux. Гораздо мощнее будут сетевые черви, атакующие root-процессы и трояны в пакетах, требующие root-привелегий.
какой на дворе год? пароль лежит в /etc/passwd ? Да НИГДЕ он не лежит - вы его даже локально по радужной таблице не подберёте, даже если он из трёх букв (локально - только полным перебором на месте).
Трояны в пакетах? А где вы свои пакеты берёте? И ещё и требующие прав рута...
А вы сомневаетесь, что червь, получив root-привилегии может повалить систему?
а как он их получит? с root привилегиями оно конечно всё можно (почти)...
и относительно низкой распространённости самой ОС на компьютерах в мире
Какая разница? Количество серверов по сравнению с клиентскими машинками все равно очень мало.
дело тут не в количестве: один высоконагруженный боевой сервер может заразить миллионы клиентов, одна клиентска машина - 1-5 других компьютеров. Вы сравниваете несравнимые вещи.
Если червь не рушит систему, значит это его собственная смерть.
Можно хоть весь жесткий диск отформатировать или удалить документы. Но тем самым гадость проявит себя и ее смерть незамедлительна.
Поэтому все вредоносы-долгожители стараются не проявлять себя и оставлять следов. Но это не значит что они не могут нарушить работоспособность системы.
Гораздо выгоднее получить управление через систему удаленного администрирования, зомбировать или расслылать спам.
И еще. Безопасность - не значит "отсутствие опасности".
и ещё: попробуйте в SUSE поставить программу из Debian? Как оно? Поставилось? То-то же. Вы даже полезное ПО не сможете установить. Даже локально и со всеми правами. Т.е. конечно сможете, но только ручками, читая рассказы тех, кто уже так делал... Да и то - не всегда. А вы мне рассказываете о "не заметной работе вредоносного ПО"... Нормальное-то не поставить :(
То, что вы пишите - фантастика. Конечно атаки возможны, но только двух типов:
1) целенаправленная атака злоумышленником, уровень подготовки которого в разы выше уровня локального админа.
2) атака через заражённый компьютер админа, если админ использует Windows.
Я так понимаю, сам червь и является этой системой администрирования:
дык дайте код!
что мы вправду мучаемся с настройкой разных там ssh, vnc, и прочих удалёнок?!
Большинство пользователей про top вспоминают, лишь когда что-то идет не так, т.е. аккуратный червяк может сидеть в системе назамеченным довольно долго.
угу. в том то и дело, что у червя всё СРАЗУ пойдёт не так. И юзер будет вынужден изучать top, или здесь писать вопросы разные. Но мы не видим таких вопросов. А ведь посетителей этого форума не так уж и мало...
top выдаст вам только имя процесса, занимаемое место в памяти и учетную запись. Гадость может притвориться уже существующим процессом. Есть неск. секретов "как создать процесс, не отображаемый top-ом". И не обязательно создавать процесс, можно внедриться в уже существующий и top как и любой другой диспетчер задач вам не поможет.
1) man top, на тему "может только". Не только.
2) man chkrootkit, на тему - непонятные процессы.
Мнээ, у меня в top несколько десятков процессов показывает, а ведь я ничего, кроме Оперы, не запускал. По ходу, меня уже завирусовали smile
список в студию.
а тут ему IP6, он харакири совершит или сдаваться пойдёт или же он как верный патриот будет всё пытаться и пытаться... Лишь самому жалко стало cool
как патриот будет. а система будет все ходы записывать. а юзер будет удивляться, откуда у него лог в 500мб :)
Сие в определенной степени справедливо, может, для какого-нибудь арча. В остальных системах библиотеки меняются не так уж и часто, а иногда их обновление даже не ломает их ABI. Ядро, я полагаю, нормальные люди тоже по десять раз на дню не пересобирают. Т.о., бедный троян может прожить в системе достаточно долго, чтобы успеть основательно нагадить.
это вы исходите из того соображения, что юзер сегодня имеет ядро точно такое-же как вирусмейкер? Вы не понимаете, у юзера УЖЕ другое ядро.
Думаю, что темка такая флеймовая, что ее стоит прикрепить!)))
Вы слишком высокого мнения о пользователях. Большинство лишнюю кнопку нажать боится, а вы тут про ядро.
за то я в курсе, сколько создатели убунты/мандривы патчей ядра понапихали (over9000). причём они на этом не остановились, а всё патчат и патчат. И будут патчить.
А ЛЮБОЙ патч приводит к тому, что код ядра сдвигается, и атаковать его напрямую уже невозможно (точнее возможно, достаточно пару байтов в коде вируса подправить. Только кто ж это будет делать? Сам вирус будет дезассемблировать ядро? Или письмо в каноникал отправит, типа багрепорт? ;) )
Поймите, нормальные приложения пользуются нормальными функциями, и их нормальную работу создатели ядра обеспечивают. А обходные пути никто не поддерживает, их наоборот закрывают, если найдут. А если не найдут, то эти дыры просто плавают по коду, и уникальны для КАЖДОЙ сборки.
А ванильное ядро осталось лишь в слаке. Да и то там кой чего пропатчено. Т.е. вирус будет работать ТОЛЬКО на вполне определённой версии ядра, и должен создаваться СПЕЦИАЛЬНО для КОНКРЕТНОГО компьютера. Например, я могу взломать ВАШ компьютер, если
1) узнаю ТОЧНУЮ версию вашего ядра, все опции компиляции последнего, и все наложенные патчи.
2) в этом ядре ЕСТЬ уязвимость, и что важнее - я смогу её отыскать.
Только в этом случае я смогу написать вирус. Правда он дальше вашего компьютера не пойдёт - там ДРУГИЕ ядра, и эксплуатация найденной мною уязвимости невозможна.
КакбЭ ув. AndreyMust19 мне вроде коллегой не является
Имелось ввиду коллега по убеждению.
сей ресурс в моей конторе вообще особой популярностью не пользуется
Толсто однако... Возникает 2 вопроса:
1. В таком случае, что Вы тут делаете?
2. Это какая такая контора? Мелкомягкость что ли? :lol:
Думаю, что темка такая флеймовая, что ее стоит прикрепить!)))
Ага. Я и сам не ожидал, что столько наболтаем. :)
Не совсем, правда, понятно, зачем писать вирус для ЯДРА, если проще и надёжнее сделать обычную скриптовую ломалку
СЕУП, а что за лист непонятно какого дерева на заставке?
дело тут не в количестве: один высоконагруженный боевой сервер может заразить миллионы клиентов, одна клиентска машина - 1-5 других компьютеров. Вы сравниваете несравнимые вещи.
Сервер еще надо суметь "подбить". И если админ этого сервера хоть немного компетентен, сделать сие будет крайне непросто, какая бы ОС на сервере ни стояла. Завалить же клиента зачастую можно вообще безо всяких вирусов, используя лишь уязвимость в лице юзера. Разницу ощущаете?
в том то и дело, что у червя всё СРАЗУ пойдёт не так. И юзер будет вынужден изучать top, или здесь писать вопросы разные
Если червь сразу ломанется занимать все ресурсы, до каких дотянется, то да, его тут же вычислят. Если же он, как я сказал, будет вести себя осторожно, то заметят его очень нескоро.
это вы исходите из того соображения, что юзер сегодня имеет ядро точно такое-же как вирусмейкер? Вы не понимаете, у юзера УЖЕ другое ядро.
Во-первых, ядро меняется не каждый день; за то время, пока готовится очередной патч, червяк может успеть наделать дел.
Во-вторых, если вирьмейкеру червь реально нужен, то он (вирьмейкер) будет отслеживать изменения в ядрах и своевременно запускать обновленные версии червяка.
Конечно, остается небольшой процент юзеров, которые, едва оторвавшись от медитации на top, тут же кидаются пересобирать ядро, но этот процент можно не рассматривать :)
нормальные приложения пользуются нормальными функциями, и их нормальную работу создатели ядра обеспечивают. А обходные пути никто не поддерживает, их наоборот закрывают, если найдут. А если не найдут, то эти дыры просто плавают по коду, и уникальны для КАЖДОЙ сборки.
Хорошо, допустим в ядре есть некая API-шная функция, склонная к переполнению буфера, о чем разработчики не знают. Функция эта считается нормальной, и ее нормальный вызов будет обеспечен и после наложения неких патчей (иначе надо половину софта в системе обновлять). Червь, соответственно, тоже спокойно может ее вызвать с нужными параметрами и сделать зло. Что куда уплыло?
Толсто однако... Возникает 2 вопроса:
1. В таком случае, что Вы тут делаете?
2. Это какая такая контора? Мелкомягкость что ли?
Оффтопим жестко, ну ладно:
1. В конторе у нас нет запретов на посещение линуксфорума, а вот вашего разрешения да, забыл спросить. Каюсь, грешен :)
2. Сей форум - хороший ресурс, но не думаю, что его популярность так уж высока, что лишь в МС нет толп его почитателей. Не поверите, но очень многим ИТшникам до линукса вообще нет дела.
Господа, буду краток.
До тех пор, пока зловреды не начнут причинять ощутимый вред линуксовым системам на десктопах, их (зловредов) для нас как бы нет.
Правда, ещё остаётся (если верить компетентным товарищам) возможность ботнет-сетей. Но для этого необходимо достаточно большое количество линукс-машин.
Чего пока - к счастью или нет - не наблюдается.
1. В конторе у нас нет запретов на посещение линуксфорума, а вот вашего разрешения да, забыл спросить. Каюсь, грешен
эээ...мы как бы тут общаемся...чуть спокойнее, ок? smile
эээ...мы как бы тут общаемся...чуть спокойнее, ок? smile
Я спокоен аки слон. У меня поинтересовались, какого лешего я тут забыл, я просто ответил, ничего такого :)
Я спокоен аки слон. У меня поинтересовались, какого лешего я тут забыл, я просто ответил, ничего такого
Ну Вы же сами написали о "низкой популярности данного ресурса" у вас в конторе - вот и оказались неправильно поняты. Эмоционально несколько прозвучало просто :cool:
З.Ы. На самом деле - много народу действительно слыхом не слыхивали о Линуксе. Более того - они вообще не знают о том, что это такое - ОС smile
Ну Вы же сами написали о "низкой популярности данного ресурса" у вас в конторе - вот и оказались неправильно поняты. Эмоционально несколько прозвучало просто :cool:
Ну не знаю, вроде имел в виду то, что имел в виду: среди моих коллег посетителей линуксфорума очень мало (может никого, кроме меня), хотя линуксойды точно имеются. Почему так - уж не знаю.
Почему так - уж не знаю.
здесь не приветствуется красноглазие, троллинг и истеричные выкрики "не нужен!!!11", ваши друзьям видимо это не нравится.
Завалить же клиента зачастую можно вообще безо всяких вирусов, используя лишь уязвимость в лице юзера. Разницу ощущаете?
угу. только речь о вирусе, а не о целенаправленной атаке.
Если червь сразу ломанется занимать все ресурсы, до каких дотянется, то да, его тут же вычислят. Если же он, как я сказал, будет вести себя осторожно, то заметят его очень нескоро.
то, что вы сказали, вирусу не поможет - он должен что-то делать, и это что-то обязательно связано с проблемами. Например прежде всего он должен закрепится в системе, и скрыть себя из разных top'ов. А если у юзера htop? А если...
А не закрепится и не спрячется - либо сдохнет, либо убьют. А будет закрепляться - раскроют. Это как шпиона посылать в страну, о которой шпиону ничего не известно. Ага, послало ЦРУ агента 006. Подумаешь что негр, и по-русски не говорит ;)
Во-первых, ядро меняется не каждый день; за то время, пока готовится очередной патч, червяк может успеть наделать дел.
надо успеть ещё сделать этого червяка, и занести его к юзеру. M$ даёт на это время, а вот Сообщество - нет.
Во-вторых, если вирьмейкеру червь реально нужен, то он (вирьмейкер) будет отслеживать изменения в ядрах и своевременно запускать обновленные версии червяка.
это вирусмейкеру надо обновлять червяков РАНЬШЕ чем ядро обновится - а откуда он узнает про дыры? Куда про них в первую очередь сообщается?
Конечно, остается небольшой процент юзеров, которые, едва оторвавшись от медитации на top, тут же кидаются пересобирать ядро, но этот процент можно не рассматривать smile
не, большинство юзеров тупо обновят ядро и перезагрузятся. И - всё. Червяк сдох, и обновить его уже не получится.
Хорошо, допустим в ядре есть некая API-шная функция, склонная к переполнению буфера, о чем разработчики не знают. Функция эта считается нормальной, и ее нормальный вызов будет обеспечен и после наложения неких патчей (иначе надо половину софта в системе обновлять). Червь, соответственно, тоже спокойно может ее вызвать с нужными параметрами и сделать зло. Что куда уплыло?
хорошо. для того, что-бы воспользоваться уязвимостью, надо записать по адресу 0xAFE35FF0 код. Это очень страшно и трагично, и используется злым червём. Однако, после первого-же обновления, хотя уязвимость никуда и не денется, но код уже надо будет писать на 117 байтов выше. Ну и червь соответственно попросту не запустится. (как и заражённая программа). В API есть механизм для вызова функций, даже если код сдвинулся, есть точки входа. Но их нет для уязвимостей.
Войдите или зарегистрируйтесь, чтобы ответить.
