Pods nolaists podā (63 komentāri)

Nevarēju nepamanīt, ka pēdējās diennakts laikā manā blogā iebriduši gandrīz pussimts cilvēku ar vienu vienīgi mērķi - atrast zelta podu ar pods.lv izejas kodu.

Visi ieintersētie jau būs dzirdējuši, ka naktī no 21. uz 22. novembri pods.lv nonests ar solījumiem publicēt tā kodu. Līdz ar viņu nonests arī viens no OgreLand kompānijas serveriem, uz kuriem hostējās tādas mājaslapas kā www.rave.lv, www.calis.lv, www.nza.lv, www.sieranams.lv, www.konkas.com, www.impulss.lv, www.whirlpool.lv u.c. (Pie saitēm arī attiecīgas diskusijas.)

Bet es, kā parasti, centīšos pasniegt visus pieejamos faktus un viedokļus.

Sākšu ar savu notikumu versiju. Izmantots kaut kāds webisks eksploits (iespējams phpBB vai Apache), tad privilēģijas eskalētas līdz maksimumam, izmatojot kādu kerneļa eksploitu (uz kastes bija Linux kernelis 2.4.18).

Cilvēks, kas sevi sauc "Mandarins" paspēja izbļausīties, ka šodien uz NetSec.lv servera būs pieejams apraksts, kā tika veikta uzlaušana. Serveris visu dienu bija nepiejams, taču vakarā sāka strādāt ar piezīmi

NetSec.lv patreiz ir palielas tehniskas problemas, ka rezultata servaks bisku raustas.

Viņu versija par uzlaušanu (pieejama epizodiski, dēļ kaut kādiem gļukiem) ir līdziga manējai, taču OgreLand web serveris noteikti negriezās uz root lietotāja, tādēļ ar viņu aprakstu vien nepietiek. Kā arī viņi min, ka datuve.lv esot uzlauzta tā pat. Pēc manā rīcībā esošās informācijas, datuve.lv ir hostiga problēmas. Hostingu nodrošina SIA "Garmtech".

Ir pieejami paša laužņa ekrānšāviņi, pārkāpuma izdarīšanas brīdi. Man ir savs pamats domāts, ka tie ir viltoti, taču to es paturēšu pie sevis, mani argumenti jūs par to nepārliecinās. :)
Šāviņi: mājas, warez, procesors, dzēšana (kreisajā pusē redzams mama.lv ar ievainojamo phpBB), hacked, rezultāts.
Pēdējie divi šāviņi ir aizdomīgi līdzīgi tiem, kas tika publicēti foto.inbox.lv, tāpēc man ir pamats domāt, ka viņus ir taisijis un augšupielādējis (nošaujiet mani) tas pats cilvēks, kas uzlauza serveri. Lai gan gudri vīri man nepiekrīt... Nu redzēsim.

Lūk arī eksluzīva intervija ar pašu pods.lv domēna īpašnieku Arti Āri (ne to, ko es personīgi pazīstu jau daudzus gadus, bet to slavēnāko), plašāk pazīstamu ar niku CooLynX. Intervija noritēja diennakti iepriekš.
CooLynX ir publicējis autorrakstu ar savu viedokli par notikumiem.

Kāds ir Tavs maizesdarbs?
HTML maketētājs/programmētājs, sauc kā gribi. Plus vēl visādi nieki, kas saistīti ar webisko risinājumu izstrādi. Ne gluži dizainers - ar zīmēšanu man maza saistība. Tu saliec to bildīti, ko iedod dizainers iekš pareiza HTML?
Jā, zīmē citi, es no bildes veidoju HTML. Es salieku kopā to, ko ir saprogrogrammējuši/sazīmējuši citi. Tā, lai tas būtu baudāms webā.
Visus šobrīd uztrauc viena lieta - backupi Tev taču ir?
Man - jā. Varbuut nav komentu, bet tas jau fufelis :)
Tikai kaut kādu pēdējo komentu visdrīzaak, vai ne?
Jā.
Vai arī download.pods.lv bija nobackupots? Vai tas tiks atjaunots tāds kāds bija?
Nē. Tur taču bija 2GB.
Tātad, ja tie ir dzēsti, Tu tos neatjaunosi?
Laika gaitā, uzreiz noteikti nē... nemaz necentīšos.
Man pašam, redzot kādu defeisu, bieži vien pirmās aizdomas krīt uz defeisa anaunsētāju, uz to, kas publiski paziņo par defeisu. Vai aizdomas citu starpā krita arī uz m|sc?
Varbūt jā. Taču m|sc noteikti nepublicētu, ja pats to būtu darījis. Viņš nav tik dumjš.
Cik vecs, Tavuprāt varētu būt šis hakeris, kas vainojams pie masveida defeisa?
Nu, iespējams kaut kur tā līdz 23 gadiem. Savā attīstībā noteikti aizkavējies, izglītības ziņā viņu vērtēju kaut kur uz 16-17.
Vai domā nomainīt hostinga palakpojumu sniedzēju, kad viss būs norimis?
Domāju, ka nē. Ja vien mani neizmetīs. :D Ja kāds gribēs, tad jebko uzlauzīs. Nav bullet-proof sistēmu.
Vai esi guvis no tā kādu mācību?
Pagaidām gan nekādu mācību neguvu, jo neko no tā puiša izteikumiem neuztvēru nopietni - vienkārši kāds satrakojies tīņa prātā gribēja kaut ko pierādīt. Manā skatījumā nekas no viņa uzrakstītā neatbilst patiesībai.
Tātad šobrīd Tu uzskati, ka viņam nebija pieejas sourcei, tās dzēšanai?
Ir skaidrs, ka viņam bija roots, ar to viss ir izteikts. Vienkārši tie viņa argumenti bija tādi smieklīgi. Tiem es nepiekrītu.
Es saprotu, ka nebaidies no tā, ka Tavu kodu palaidīs tautā?
Nē... Tur nav nekā slikta. Es taču nekad nekad neesmu lielījies, ka būtu koderis, tieši otrādi - esmu vienmēr uzsvēris, ka nemāku PHP kodēt.
Varētu atklāties kādas nepilnības Tavā kodā, kas var ietekmēt drošību...
Tīri teorētiski - jā. Ir kaut kādas vājās vietas, jo tas pasākums, uz kā bāzes to veidoju, bija ļoti caurumains, tāpat kā daudzi citi open source projekti.
Ja Tev būtu iespēja kaut ko izdarīt ar cilvēku, kas atbildīgs par pods.lv nonešanu no Latvijas interneta skatuves (neņemot vērā, ka cieta arī citi projekti), ko Tu darītu? :>
Es domāju, ka tam cilvēkam lielas psiholoģiskas problēmas, kaut kādā veidā viņam pāri darīt būtu neprāts, jo daba jau ir paveikusi savu... Visticamāk, ka izvietotu viņa bildi podā publiskai apskatei, tas būtu pats labākais risinājums jebkurā gadījumā.

Intervijas beigas.

Šodien no CooLynXa dzirdēju pesimistisku frāzi: "nez vai ir vērts podu atkal vērt vaļā..." Nekas, domāju, ka viņam pāries. Gandrīz 3 000 hostu dienā nav maz. Cilvēkiem Tevi vajag!
Manā rīcībā nav informācijas, kāda failu sistēma bija uz servera, bet ja tā bija ext2 (diezgan ticams, jo sistēma konfigurēta 2002. gadā un kopš tā laika nav īpaši aiztikta), tad atjaunot dzēstās inodes tur pat uz servera nav jābūt īpašām problēmām.

Lai gan visi man sūdzās par calis.lv bojāeju (noderīgs resurs esot bijis; man pašam tur ir sanācis tik pāris reizes pabūt, un par laimi lielas un regulāras vajadzības man pēc viņa pagaidām nav, taču daudziem citiem ir), aiztikt komercsaitus bija stulbākais izgājiens, kādu šajā situācijā varēja pieļaut. CooLynX to hakerīti neliks aiz restēm, bet domāju, ka Whirlpool naudas un juristu pietiek. Cerēsim uz to labāko (un interesantāko).

Kā jau hakeris solījis - source ir palaista tautās. Tā agrā rītā tikusi nopublicēta uz bezmaksas hostinga sniedzēja (nē, jūs neuzminējāt, Salvis sēž mājās un grauž gurķi) Angelfire servera un 8 no rīta hackers.lv ir nopublicēta saite, ko drīz vien pēc CooLynXa lūguma izvācis BigUgga. Taču arhīvs jau bija noklīdis.
Arhīvs satur vairāk kā 1000 failus, tā MD5 summa ir a4ed66d94c2327b9e5f209008a2fb22c. Pretēji valdošajām baumām - arhīvs nav trojanēts - tas vienkārši satur exploitu paraugus, par kuriem CooLynX sav`laik rakstījis. Arhīvs satur tikai daļēju dzinēja pirmkodu.
Internetā sāk cirkulēt arī viltoti arhīvi ar nosaukumiem "pods_lv.source" utml., taču manu uzmanību piesaistīja Daemon publicētais arhīvs ar MD5 summu 544769948f40d48b8a852cc23fbf6ded, tas veidots vēlāk (šovakar ap deviņiem vakarā), taču satur praktiski visus trūkstošos failus un ir nedaudz lielāks. Kā gan tā? Vai Daemonam kaut kādā veidā varētu būt pieejams viss poda saturs? (LOL)

Nobeigumā novēlu podam nesasteigtu, pamatīgu, bet tomēr atgriešanos, taču jau drošākās rokās. Varu piedāvāt savu kasti - ātrums mazāks par megabitu, pirmais pentiums, taču sekūra. ;> Guliet droši. Ar labunakti!

Masveida defeisi tikai sākas. Šķiet, puse no Latvijas serveriem sevī satur ievainojamo phpBB (jāpiebilst, ka ar to vien nepietiek; arī pašam serverim jābūt līki nokonfigurētam). Pirms pāris stundām kļuvis zināt par datorveikals.lv uzlaušanu. Lapu rotā teksts

hacked by NetSec.lv team. chek your securiti. gr33tz to all who knows us. special greets to Daemon from spider.hacker.la...... admin = lamer

No malas raugoties, šķiet, ka NetSec ir bijuši gudrāki un neko nav dzēsuši, bet izveidojuši jaunu mapi. Nez, kā ar klientu datiem?