Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Man kann offensichtlich in einem SuSE LINUX System mit einem MySQL Server beliebig
Daten aus anderen Verzeichnissen in die MySQL Datenbank einlesen und sich quer über
das Internet irgendwohin übertragen lassen. Ein Useraccount mit beschränkten Rechten
an irgendeiner Tabelle reicht da völlig aus. Sie sehen, daß da auch eine Firewall nicht
mehr helfen kann.
Das Statement:
insert .....
select * from passwd into outfile "/etc/passwd";
Query OK, 32 rows affected (0.03 sec)
spare ich mir nun, was Sie ebenfalls sich sparen sollten.
Damit ein solcher Einbruch also nicht möglich ist, sollten Sie MySQL nur mit User-Rechten
starten, und den MySQL Serverdämon in eine CHROOT() Umgebung verbannen. Wie Sie
das tun, finden Sie hier: http://www.little-idiot.de/firewall.
Falls Sie nun denken, LINUX wäre unsicher, da haben Sie Recht. Ich kann Ihnen als
angehender MCSD aber garantieren, daß NT 4.0 Server mit MS SQL 7.0 noch viel
haarsträubendere Sicherheitslücken besitzen, deren Beschreibung Sie leider nicht in der
Microsoft Dokumentation finden. Ich selber werde diese auch kaum veröffentlichen, es sei
denn, Microsoft gibt alle Quellcodes von NT und MS-SQL 7.0 unter GPL Lizenz frei...
Unter LINUX oder BSD UNIX wissen Sie zumindest, wonach Sie suchen müssen, und
können die Probleme beseitigen, unter NT nicht.
Man kann also auch z.B. über ein PHP3 oder PERL-Skript in ein Formularfeld z.B. ;
delete * from .....; create ...; load data infile....select.... eintragen, um sich Inhalten von
Dateien auf dem Server hinter der Firewall auf den Browser ausgeben zu lassen. Man
kann z.B. auch in das Homeverzeichnis des Administrators (.profile, .bash_profile, .bashrc,
....) eine Datei exportieren, die ein Kommando zum Löschen der Festplatte enthält.... Der
Angreifer ist schon lange weg und der Administrator löscht seine eigene Festplatte.....
Vieles ist möglich.....
Das schlimme ist auch noch, daß MySQL diesen Angriff nicht aufgezeichnet hat. MySQL
verzeichnet stets alle Statements in der Datei /var/mysql/tunix.log (oder so ähnlich). Hier
finden sich jedoch Logs über die Manipulationen der Datenbank test:
user01@tunix:/var/mysql > more tunix.log
mysqld started on Fri Feb 12 16:07:38 MET 1999
mysqld ended on Fri Feb 12 16:07:39 MET 1999mysqld started on Thu Aug 19
10:26
:42 MEST 1999
/usr/sbin/mysqld, Version: 3.21.33b-log, started with:
Tcp port: 3306 Unix socket: /tmp/mysql.sock
Time Id Command Argument
990819 10:26:48 1 Connect root@localhost on
1 Statistics
1 Quit
2 Connect root@localhost on
2 Init DB mysql
2 Query delete from db
2 Query delete from host
2 Query delete from user
2 Query delete from func
2 Query INSERT INTO db VALUES
('%','test','','Y','Y','
Y','Y','Y','Y')
2 Query INSERT INTO db VALUES
Erstellt von Doc Gonzo - http://kickme.to/plugins