SVN exploit

[kika]

По-моему в этой истории самое интересное - не сам эксплойт (он-то как раз довольно скучен, в смысле hack value) а тот факт, что в такой массе (крупных!) компаний совершенно отсутствует понятие релиз-менеджмента. Делают просто svn co в корень сайта и понеслось.
Фактическая statelessность HTTP протокола сыграла с индустрией злую шутку in da long run.

Comments

[dmzlj.livejournal.com]

и что?

[kika.livejournal.com]

Этот мусор оказался дыркой. В следующий раз окажется дыркой другой мусор.
Изолента.

[dmzlj.livejournal.com]

Дыркой то оказался не мусор, а настройки сервера.

А если сайт на скриптовых языках, каких большинство, то он и есть исходники. Какая разница, есть при этом .svn или нет.

[kika.livejournal.com]

Ну там же написано - в нгинксе нельзя запретить локацию глобально.

Еще раз, отчетливо, хоть и утро: класть в дистрибутив говно - это нарываться на проблемы, даже если говно сейчас очень мирно выглядит. Мы берем и затыкаем дыру, не отдаем .svn/ и т.д. Выходит новая версия svn, которая кладет теперь свой хлам в .ssvn, для несовместимости с предыдущими версиями или еще почему (например там просто опечатка :-)). В какой момент админ это заметит и где у него написано "если изменилась скрытая директория .svn, то пойти туда и сделать то" ? Да нигде. А если нигде, то он 100% забудет.
Если пехапешники поменяют .php на .pphp, то это заметят все, а вот скрытую директорию скорее всего не заметит практически никто. Сказано в ридми что новую версию svn надо использовать со свежим чекаутом, ну ладно, так и сделаем.

Постулат номер два - в общем случае невозможно написать кофигурацию сервера, которая будет непробиваема no matter what вне зависимости от действий девелоперов. Плохой программист хорошего админа всегда заборет.

[dmzlj.livejournal.com]

Про nginx это вопрос, скорее, к авторам nginx.

Про невыкладывание говна... А вот какие-нибудь третьи скрипты или сам rsync - это не говно? А ну как уязвимость будет в них. И еще --- я понимаю, если бы мы знали каждый файл ОС в лицо. А так - там целый дистрибутив говна, в принципе. В случаях, когда каждый файл на сервере классифицирован --- наверное, имеет смысл уже бороться за чистоту.

Т.е. я где-то согласен про мусор и борьбу за чистоту, но по сравнению с тем, что у нас на сервере Линукс, а не какой-нить SELinux или там Trustix или еще что вообще OpenBSD, мне кажется, что все эти выкладывания svn --- такая мелочь.

Опять же, разбиение на морду и бэкенд, видимо, многое решает. Если в интернет торчит только морда, то потери от ее потенциального взлома должны быть минимальными. Ну то есть надо делать так, что бы это было верно.

[kika.livejournal.com]

Про nginx это вопрос, скорее, к авторам nginx.

Сысоев ответил что это by design и так правильно. Я, в принципе, с ним согласен.

А вот какие-нибудь третьи скрипты или сам rsync - это не говно? А ну как уязвимость будет в них.

Это аргумент из категории "уж лучше я, чем какой-нибудь мерзавец". От того что в rsync может быть уязвимость, не следует что надо умножать ожидание эксплойта собственными непрофессиональными действиями. Я уже писал - реальная разница между профессионалом и любителем именно в матожидании.

Т.е. я где-то согласен про мусор и борьбу за чистоту, но по сравнению с тем, что у нас на сервере Линукс, а не какой-нить SELinux или там Trustix или еще что вообще OpenBSD, мне кажется, что все эти выкладывания svn --- такая мелочь.

Это противоречие реальности данной нам в ощущениях. Давно ли был remote exploit для линукса как такового, причем exploit такой чтобы реально explotable, чтоб его скрипт киддис в руткитах использовали? А svn - вот он, пожалуйста.