Разработчики свободного проекта phpMyAdmin заявили (http://www.phpmyadmin.net/home_page/security/PMASA-2012-5.php) о выявлении факта распространения на одном из зеркал SourceForge.net модифицированного оригинального архива phpMyAdmin-3.5.2.2-all-languages.zip, в который был внедрён бэкдор. Поражёнными оказались системы пользователей, которые при загрузке с официального сайта phpMyAdmin были перенаправлены на зеркало cdnetworks-kr-1.
Вредоносный код был внедрён через добавление файла server_sync.php и позволял злоумышленнику выполнить произвольный код на сервере. Кроме того, злоумышленниками был модифицирован файл js/cross_framing_protection.js. Всем пользователям рекомендуется проверить присутствие файла server_sync.php в установленных копиях phpMyAdmin и при его наличии переустановить phpMyAdmin c заслуживающего доверия зеркала.Представители хостинга SourceForge.net признали (http://sourceforge.net/blog/phpmyadmin-back-door/) факт компрометации одного из серверов в системе зеркал и инициировали доскональное разбирательство по данному инциденту. В настоящее время зеркало cdnetworks-kr-1 удалено из системы доставки контента SourceForge.net. Владелец проблемного зеркала подтвердил информацию об атаке на сервер и указал на то, что взлом был совершён приблизительно 22 сентября. Проверка по контрольным суммам показала, что злоумышленниками был подменён только файл phpMyAdmin-3.5.2.2-all-languages.zip, остальные архивы на зеркале не пострадали. Судя по логу, архив с вредоносным ПО успели загрузить приблизительно 400 пользователей.
URL: http://sourceforge.net/blog/phpmyadmin-back-door/
Новость: https://www.opennet.ru/opennews/art.shtml?num=34934
Как они так быстро обнаруживают подмену исходного кода? Это не первая новость о подмене исходного кода, в которой подмену обнаружили очень быстро. Если с http://kernel.org/ всё понятно, то в менее популярных программах я не могу понять, как подмену исходного кода обнаруживают так быстро.Сегодня скачивал с sourceforge.net несколько архивов с исходным кодом. У этой программы было всего лишь 150 скачиваний исходного кода и около 10 тысяч скачиваний бинарников.
Какие бинарники? Он на PHP деланный.
Имеется ввиду установочная часть.
Вот ставишь это мускульное дерьмо на какой-нибудь генте, а оно говорит - сука, не совпадает sha1 ;-(
[tiger@laptop]:~%cat /usr/ports/databases/phpmyadmin/distinfo
SHA256 (phpMyAdmin-3.5.2.2-all-languages.tar.xz) = d02de081c522d3026f4a8418538f7ff05adf280afa404851a5f7f4ef895b4a7d
SIZE (phpMyAdmin-3.5.2.2-all-languages.tar.xz) = 3654332:P
в дженте тоже, насколько я понимаю, можно сказать "и чо?! ставь бл!" некоторые так и делают, что есть "грустняво"
не, в генте это не совсем тривиально, т.е. просто сказать нельзя, ну или по крайней мере нужно ещё понять как это сделать
> не, в генте это не совсем тривиально, т.е. просто сказать нельзя, ну
> или по крайней мере нужно ещё понять как это сделатьтак в этом вся и прелесть подобных систем/дистрибутивов, что ногу прострелить можно только разобравшись как это сделать, а не "галочкой" в какой-нибудь gui херне
В этом не прелесть, а кривость. Если я хочу что-то сделать, я это сделаю.
> В этом не прелесть, а кривость. Если я хочу что-то сделать, я
> это сделаю.да ладно?;)
аналогичный пример:
пропасть, ограждение. ты через него перелазишь. вар-та ровно 2:
1) ты - идиот
2) ты экстремал, которому непременно хочется прыгнуть вниз, т.к. есть некая уверенность в том, что ты все делаешь правильно (парашют за спиной, например).
аналогия понятна, я надеюсь?
> в дженте тоже, насколько я понимаю, можно сказать "и чо?! ставь бл!"Палишься, ыксперт.
>> в дженте тоже, насколько я понимаю, можно сказать "и чо?! ставь бл!"
> Палишься, ыксперт.палюсь, прости, в чем, аптгетинсталлер ты наш?;)
>> Палишься, ыксперт.
> палюсь, прости, в чем, аптгетинсталлер ты наш?;)В полном отсутствии понимания модели угрозы.
>>> Палишься, ыксперт.
>> палюсь, прости, в чем, аптгетинсталлер ты наш?;)
> В полном отсутствии понимания модели угрозы.из чего вывод сделан? буду рад цитатам, доказывающим, что это утверждение не есть клевета;)
>> В полном отсутствии понимания модели угрозы.
> из чего вывод сделан?Из #40 целиком.
> буду рад цитатам, доказывающим, что это утверждение не есть клевета;)
Предлагаю домашнее задание: подумать, откуда берётся тарбол и хэш в случаях:
- развёртывания руками;
- создания пакета;
- создания порта.
>>> В полном отсутствии понимания модели угрозы.
>> из чего вывод сделан?
> Из #40 целиком.ну не все же кругом тупые, попробуй представить себе такое
>> буду рад цитатам, доказывающим, что это утверждение не есть клевета;)
> Предлагаю домашнее задание: подумать, откуда берётся тарбол и хэш в случаях:
> - развёртывания руками;из интернетов
> - создания пакета;они из "портов" создаются, даже в вашем перемандрейке, думаю.
> - создания порта.из интернетов
у тебя есть более другие ответы на эти вопросы?ЗЫЖ while не_дошло; do read#40 done
ЗЗЫЖ и заканчивай уже в состоянии сильного алкогольного(?) писать на форумах:\
>> Предлагаю домашнее задание: подумать, откуда берётся тарбол и хэш в случаях:
>> - развёртывания руками;
> из интернетовДва балла.
>> - создания пакета;
> они из "портов" создаются, даже в вашем перемандрейке, думаю.Нет.
>> - создания порта.
> из интернетов
> у тебя есть более другие ответы на эти вопросы?Да: тарбол -- с зеркала, хэш -- с сайта. Доступ на запись к этим ресурсам может *очень* сильно отличаться, как и в случае sf. Непонимание настолько элементарных фактов и послужило основанием для вывода о Вашей некомпетентности в обсуждаемом вопросе.
> ЗЫЖ while не_дошло; do read#40 done
Хамить любой дурак умеет, попробуйте сами-то вырваться из описанного цикла.
> ЗЗЫЖ и заканчивай уже в состоянии сильного алкогольного(?) писать на форумах:\
Можете при случае спросить во MLUG -- видел ли когда кто Шигорина в нетрезвом виде.
>>> Предлагаю домашнее задание: подумать, откуда берётся тарбол и хэш в случаях:
>>> - развёртывания руками;
>> из интернетов
> Два балла.смс с хэшем от того кто паковал?
или сайт != интернет в общем случае?;)
>>> - создания пакета;
>> они из "портов" создаются, даже в вашем перемандрейке, думаю.
> Нет.что "нет"? название "порт" не подходит? м.б. "spec" или более другое, сексуальное, название тогда? суть-то остается тойже. или "пакет" это не нечто бинарное, внутри "архива"? каким боком тут src, для конечного пользователя?
> Да: тарбол -- с зеркала, хэш -- с сайта. Доступ на
> запись к этим ресурсам может *очень* сильно отличаться, как и в
> случае sf. Непонимание настолько элементарных фактов и послужило основанием для
> вывода о Вашей некомпетентности в обсуждаемом вопросе.снова пытаетесь телепатировать, но пока не получается.
>> ЗЫЖ while не_дошло; do read#40 done
> Хамить любой дурак умеет, попробуйте сами-то вырваться из описанного цикла.ок. был резок, возможно. попробую перефразировать:
что _конкретно_ из #40 вызвало праведный гнев? то, что таки можно обмануть систему или то, что для того чтобы обмануть нужно быть не убунтоводом/идиотом и понять как это можно сделать?
>> ЗЗЫЖ и заканчивай уже в состоянии сильного алкогольного(?) писать на форумах:\
> Можете при случае спросить во MLUG -- видел ли когда кто Шигорина
> в нетрезвом виде.зачем мне это делать? может быть Вы только дома этим занимаетесь, в перерывах отвечая на форуме.. Сорри если обидел, но как-то мне до сих пор не ясно, как в трезвом уме и добром здравии можно по #40 делать выводы, послужившие началом данного срачика.
это сила 1%. среди 400 скачавших пользователей, 4 всё равно догадаются проверить контрольную сумму и заподозрить наипалово.
> это сила 1%. среди 400 скачавших пользователей, 4 всё равно догадаются проверить
> контрольную сумму и заподозрить наипалово.остальные 396 виндовсятнеков до сих пор не в курсе...
> 396 виндовсятнекова ведь ты прав, ибо архивы .zip скорее всего кроме виндовсятнеков никто не скачивает :)
И фальсификаторы, скорее всего, именно на это и рассчитывали, заменяя именно .zip, а не tar.xz.
Скорее всего в zip было проще добавить файл, не перепаковывая архив. tar.gz этого не позволяет вообще.По моему скромному опыту, линуксоиды менее грамотны в компьютерных технологиях в области защиты, чем виндузятники, во всяком случае ни одного линуксоида , не захотевшего чтобы я ему поставил именно PhpMyAdmin, а не что-нибудь нормальное, я ещё не встречал.
> По моему скромному опыту, линуксоиды менее грамотны в компьютерных технологиях в
> области защиты, чем виндузятники, во всяком случае ни одного линуксоида ,
> не захотевшего чтобы я ему поставил именно PhpMyAdmin, а не что-нибудь
> нормальное, я ещё не встречал.Начнём с того, что линуксоиды сами себе устанавливают нужный им софт, а не просят этого делать кого попало!
Во вторых pma удобен именно для администрирования (импорт/экспорт), а для разработки я раньше использовал WorkBench, но он от версии к версии становился всё глючнее и убожнее и им уже совершенно не удобно порльзоваться (по крайней мере под KDE) и я использую плагин БД к Kate и очень им доволен, он быстр и удобен.
Плохо что нет аналогичного плагина к geany.
> pma удобен именно для администрирования (импорт/экспорт),щито? сурове однинэ не умеют делать/вливать дамп без pma ? alter`ить тоже не?
нацЫя дИградирует. верните мне как было, лет на 10 назад!
> во всяком случае ни одного линуксоида , не захотевшего чтобы я ему поставил именно
> PhpMyAdmin, а не что-нибудь нормальное, я ещё не встречал.Давайте встретимся :)
> линуксоида
> я ему поставилтебя где-то жестоко обманули, это были не линуксоиды.
> остальные 396 виндовсятнеков до сих пор не в курсе...С точки зрения товарищмайора есть как минимум с десяток будущих подследственных, которые попадут по обещаемому вскоре закону :)
Меня больше удивляет как на одном из зеркал могла находиться копия отличающаяся от других зеркал более часа. Зеркала должны постоянно синхронизироваться и проверяться КС.
Подобные ресурсы д/б максимально простыми, безопасными и быстрыми, а они превратились в рекламную доску, блог и еще хз чего.
> Зеркала должны постоянно синхронизироватьсяупаси аллах. чтоб оно на остальные переползло?
КС проверяется у конечного пользователя. после доставки. и у него КС из одного источника, сырцы из другого. и это правильно.
вывод - не игнорируйте сверку md5
даж не знаю как это делать в венде ;-)в "Command Prompt" такой команды нет как md5sum
> даж не знаю как это делать в венде ;-)Например вот так: http://www.implbits.com/hashtab.aspx :)
Что за бред? Не стыдно на опеннете такую ссылку постить? Пусть компилит из сырцов или качает, но обязательно опенсорсное.
ты чего такой серьезный?
есть total commander. Правда он кроме CRC16/32 , md5, и sha1 не считает ничего. Но обычно этого хватает. Ну или сторонние тулзы. А лучше cygwin ставить или типа него. Но консоль убогая конечно в винде, дааа
Понабежали виндузятники md5sum наше все
php -n -r echo(hash('md5',file_get_contents('phpMyAdmin-3.5.2.2-all-languages.zip')));_\m/
ну есть же md5_file()
вы недостаточно прониклись духом PHP
http://unxutils.sourceforge.net/
А архивы на зеркалах с этим чудом тоже уже подменили? ;)
> даж не знаю как это делать в венде ;-)даже не знаю как сформулировать совет, не употребляя "снестинах".
> в "Command Prompt" такой команды нет как md5sum
а как же любимый вендовсятнегами TotalCommander?
Да, настощие вендовсятнеги настолько суровы, что проверяют контрольные суммы tatalcmd'ером. Ну а мы настолько ленивы, что за нас это делают пакетные менеджеры.
> Да, настощие вендовсятнеги настолько суровы, что проверяют контрольные суммы tatalcmd'ером.
> Ну а мы настолько ленивы, что за нас это делают пакетные
> менеджеры.и настолько малообразованы, что найти утилиту, проверяющую под windows контрольную сумму, не можете. Естественно, в линуксе умные дяди добавили в системы наших крутых "специалистов" всё необходимое, а в windows надо ручками уметь что-то делать.
> и настолько малообразованы, что найти утилиту, проверяющую под windows контрольную сумму, не можете...
> а в windows надо ручками уметь что-то делать.ручками я USE-ы выставляю, предварительно грамотно вникнув в имеющиеся.
Ручками я, когда надо, ebuild-ы пишу, но такое довольно редко бывает надо.
А всю грязную работу (аля найти сорцы, скомпилить их с нужными ключами и установить по тем адресам, с которых легко можно будет удалить при удалении/обновлении софта) за меня делает пакетный манагер.а ты ручками месишь гов^W^W таки находишь на файлопомойках недоутилиту считающую md5 или bluefish, но требующую активации. потом ищешь кряк на неё. потом надеешься, что твой крякнутый каспер, не обновлявший базы полгода, сможет распознать в этой мегаутилите и кряке к ней наличие/отсутствие зловреда.
И лишь потом ты копируешь эту инсталяшку с кряком в, итак разросшуюся, папку e:\Install, а оттуда уже устанавливаешь. Я последовательность действий не перепутал?Наверно такие мытарства сильно поднимают чсв
> а ты ручками месишь гов^W^W таки находишь на файлопомойках недоутилиту считающую md5
> или bluefish, но требующую активации. потом ищешь кряк на неё. потомТипичный подход недоучки, привыкшего что за него всё делает пакетный менеджер.
В windows давно есть cygwin, а в нём есть md5sum.exe . Не надо крякать, уважаемый :))) Спасибо за подтверждение моего мнения.
> В windows давно есть cygwinЧто, прям в windows? ;-)
Вообще-то чтоб выбрать систему, в которой действительно есть инструменты на разные случаи -- тоже может понадобиться потрудиться и потерпеть. (это скорее re #73)
>>> и настолько малообразованы, что найти утилиту, проверяющую под windows контрольную сумму, не можете. Естественно, в линуксе умные дяди добавили в системы наших крутых "специалистов" всё необходимое, а в windows надо ручками уметь что-то делать....
> Типичный подход недоучки, привыкшего что за него всё делает пакетный менеджер.
> В windows давно есть cygwin, а в нём есть md5sum.exe . Не
> надо крякать, уважаемый :))) Спасибо за подтверждение моего мнения.Естественно, в cygwin умные дяди добавили в системы наших крутых "специалистов" всё необходимое...
А, не, это умные дяди портировали как смогли более-менее нормальный механизм управления пакетами в шиндофс, а потом крутые "специалисты", узнавшие о единственно возможном способе выжить в виндовой консоли, с пеной у рта, этих малообразованных линуксоидов жизни учат.
Единственно возможном? Кто бы знал... ту же утилиту для проверки md5 желающие могут бесплатно не крякая скачать с сайта производителя. Но зачем, это же для крутых линуксоидов не кошерно, раз не входит в предустановленный комплект?
ужасно некошерно. почему в системе, установщик которой занимает целый DVD, нет даже такой простой утилиты? что за гуано туда понапихали? почему она «из коробки» не умеет ничего, но требует кучу гигабайт под себя?
> В windows давно есть cygwin, а в нём есть md5sum.exe . Не
> надо крякать, уважаемый :))) Спасибо за подтверждение моего мнения.Извините, стесняюсь спросить, а контрольную сумму cygwin-а, при скачивании, вы как проверяете?
> Извините, стесняюсь спросить, а контрольную сумму cygwin-а, при скачивании, вы как проверяете?просто творится молитва Балмеру и рука на голографическую наклейку
> и настолько малообразованы, что найти утилиту, проверяющую под windows контрольную сумму, не можете.если человек не хочет искать в мусорных баках что-то чем можно побриться, это не значит, что он малообразован. хотя предположу, его знания особенностей окрестных мусорных баков могут не сравниться с.
> Естественно, в линуксе умные дяди добавили в системы наших крутых "специалистов" всё необходимое,я сожалею, что ваши дяди жадные дураки, но в отличии от реальных родственников, дядей, которые клепают операционки можно выбрать.
> а в windows надо ручками уметь что-то делать.
везде надо ручками что-то делать, это не беда.
> вывод - не игнорируйте сверку md5а где все еще используется проверка md5 ?
почти везде
не отрываясь от сабжа - http://www.phpmyadmin.net/home_page/downloads.php, все md5 приложены.
> вывод - не игнорируйте сверку md5Капитан намекает что хакер может его и пересчитать как бы. Вот цифровые подписи - другое дело.
Ломанув ВСЕ зеркала на которых лежит архив, или от чего ещё там контрольная сумма?
к вопросу о взломе репозиториев
ещё остались убеждённые в том что репы панацея и юзера не надо защищать от устанавливаемых им программ а программу А от программы Б ?
sourceforge is not repositary
> sourceforge is not repositaryага, конешно, принципиально и диаметрально противоположная вещь
В репозиториях автоматом проверяется подпись пакета. Внедрить код можно только если украсть приватный ключ производителя пакета, а это сделать гораздо сложнее, чем "файлики в архиве поменять".
>> sourceforge is not repositary
> ага, конешно, принципиально и диаметрально противоположная вещьsf -- это средство публикации (в данном случае на системе зеркал). Репозиторий -- тоже средство публикации, но с совсем другой семантикой проверок.
Даже не знаю, как это кратко объяснить при такой степени некомпетентности в обсуждаемом вопросе.
Репозиторий != зеркало. С подписанными пакетами ты вообще ничего не сделаешь.> что репы панацея
Погодь-погодь, а ты что-то лучшее хочешь предложить?
[сообщение отредактировано модератором]
>> что репы панацея
> Погодь-погодь, а ты что-то лучшее хочешь предложить?нет, я считаю что репы хорошее решение и лучше них ничего не могу предложить
но надёжность репов не 101% и нужны средства максимально исключающие влияние этого фактора, будь то таки взломанный реп с украденной подписью, или реп васи пупкина с убунтутвикалкой злонамеренного характера
> но надёжность репов не 101%А это уже к вопросу доверия.
>> но надёжность репов не 101%
> А это уже к вопросу доверия.доверия много не бывает
в плане что всему надо недоверять
даже в моей собственной программе в моём локальном репозитории может оказаться скрипт "rm -rf / bla/bla/bla"
rm -rf /usr /lib/nvidia-current/xorg/xorgсори за боян
А разве не проверяются контрольные суммы при установке из репозиториев? В новости написано "примерно 400 скачавших", что вовсе не значит "установивших". Ну скачали, чексуммы не совпали, ну и ладно.
Собственно как раз обычно phpMyAdmin качают чтобы руками куда-то запихнуть - а если репозитории использовались бы то контрольная сумма б проверилась с гарантией.
> Собственно как раз обычно phpMyAdmin качают чтобы руками куда-то запихнуть - а
> если репозитории использовались бы то контрольная сумма б проверилась с гарантией.у тех, кто так делает, и без phpmyadmin ос дырявая. остальные ставят из репо, если они не дебиановцы, например;)
> А разве не проверяются контрольные суммы при установке из репозиториев? В новости
> написано "примерно 400 скачавших", что вовсе не значит "установивших". Ну скачали,
> чексуммы не совпали, ну и ладно.Как правильно заметил выше Клыкастый, архивы .zip качают в основном юзеры окон, которые обычно не утруждаются проверить чексуммы в том числе по причине проблематичности этого в окнах. А значит, вероятность того, что в данном случае скачавшие == установившие - около 100%.
Стоит заметить и то, что фальсификаторы, скорее всего, именно на это и рассчитывали, заменяя именно зип, а не tar.xz.
Коллизии подписей никто не отменял... А зеркала иногда могут быть злом, для админских/системных утилит всё лучше брать с ресурса разработчика или с проверенной CDN.
>или с проверенной CDN.и сколько CDN ты Лично проверил?
> и сколько CDN ты Лично проверил?...и как проверить что это именно тот сайт, а не какой-то му... на проводе?
побасенка о том, что '(не)проверенно (не)довереный' не отменяет данный на откуп cкачивающему труд сверки чексумм и прочие мероприятия (изменения между версиями, 'песочницы' и т.д.)
Ох уж это ё^%$%# корейское зеркало. Им и так интернет на черепахах завозят, не иначе, так ещё и ломают регулярно.
Забабахали какой нить демон. Висит в памяти тихонечко обращается к базе контрольных сумм, неспешно сканирует требуемые файлы, проверяет их, пишет логи. Как только что-то поменялось в системе, сразу сообщает. Во фряхе кажется есть даже специальный режим защиты. Как-то читал, но не уверен, что правильно помню. При такой постановке система все мониторит и в логах должна отписаться, что не так. Однако при такой защите наверное невозможны такие подмены.
tripwire он называется. Только неспешной проверки больших файловых архивов не бывает.
>был подменён только файл phpMyAdmin-3.5.2.2-all-languages.zipПрекрасно, что я качаю всегда только *.7z :)