В заметке (http://habrahabr.ru/sandbox/5698/) представлен разбор событий, связанных со взломом сервера, выполняющего роль коммерческого хостинга сайтов. Кратко ход событий: взлом уязвимого web-приложения (Joomla), загрузка в /tmp бэкдора, получение доступа в shell с правами nobody, получение root-прав через уязвимость Linux ядра, установка руткита для mysql и замена некоторых системных программ.

URL: http://habrahabr.ru/sandbox/5698/
Новость: http://www.opennet.me/opennews/art.shtml?num=23702

• Разбор истории взлома одного  Linux-сервера,mma, 18:52 , 02-Окт-09
  • Разбор истории взлома одного  Linux-сервера,Аноним, 19:13 , 02-Окт-09
    • Разбор истории взлома одного  Linux-сервера,Аноним, 19:44 , 02-Окт-09
• Разбор истории взлома одного  Linux-сервера,chemtech, 19:07 , 02-Окт-09
• Разбор истории взлома одного  Linux-сервера,аноним, 20:38 , 02-Окт-09
• Разбор истории взлома одного  Linux-сервера,Аноним, 21:59 , 02-Окт-09
  • Разбор истории взлома одного  Linux-сервера,anonymous, 22:06 , 02-Окт-09
    • Разбор истории взлома одного  Linux-сервера,nowinter, 01:09 , 03-Окт-09
  • Разбор истории взлома одного  Linux-сервера,аноним, 02:15 , 03-Окт-09
    • Разбор истории взлома одного  Linux-сервера,Аноним, 10:06 , 03-Окт-09
  • Разбор истории взлома одного  Linux-сервера,linecommander, 14:09 , 08-Окт-09

насколько я понял если был бы selinux то ничего подобным способом не вышло бы дальше взлома джумалы? Или нет?
1)они бы не смогли запустить данный скрипт из tmp?
2)если все таки запустили в контексте апача то никуда приконнектится дальше локалхоста он им не даст что бы загрузить "инструменты"
3)ну итд по нюансам.......

>>1)они бы не смогли запустить данный скрипт из tmp?

для этого достаточно noexec поставить на /tmp, разве нет? Только это не защищает от копирования файла куда-то еще, если такие права есть.

Да, selinux бы защитил. Не дал бы записать в tmp из под joomla, если она наследовала контекст апача даже при влзоме, для начала, ну и далее по пунктам. Конечно, selinux нифига не панацея от кривых рук, ну как это часто бывает - подходит скриптописатель к админу и ноет "дяденька, а мне вот в /tmp файлик создать надо из cgi, а ошибка вылазит..". Ну админа чем в дискуссии пускаться снимает selinux ограничение для cgi скриптов на запись в /tmp и вперед. Очень типичная ситуация, регулярно наблюдаю..

noexec не делает ничего. Для шеллового скрипта обходит noexec через /bin/sh file.sh, аналогично для перла, питона и тд, а бинарник выполняется через /lib/ld-linux.so.2 <имя бинаря> (ну или /lib64/ld-linux-x86-64.so.2). При любом методе на noexec все кладут.

Там же написано: "по причине желания экономии на сисамдине заказчиком"

Да не превращайте вы opennet в журнал хакер! банальный взлом вебсервер. :((( не нужно сюда с хабра копировать:(((

Что-то на хабре - 404

>Что-то на хабре - 404

+1

>>Что-то на хабре - 404
>
>+1

прочли и сразу вззззломали )))

потому что даже там это удалили, а сюда это прошло в мининовости

>потому что даже там это удалили, а сюда это прошло в мининовости

IMHO, весьма поучительная и полезная заметка была.

>Что-то на хабре - 404

у меня нет ошибки, всё открылось