Дыра в telnetd

старая хорошая дыра жаль теперь стала широко известна ... мля ... :(

Описание есть,а где можно взять эксплойт?

Самому написать :))

Да... Скоро однако Линукс можно будет нюкать как пролятый мастдай... :-(

И много ли народу все ещё юзают telnet? Лучше бы любители нюков и кряков на ssh наезжали.

А что такое эксплойт?

Анимусы, скажите что это была ШУТКА.PLS !!!!

Судя по письму мужик сам ничего не понял и просто уверился в этой дырке. Нет предупреждений от CERT по этому поводу,только об очередной дырки в IIS. У меня сильное подозрение , что это паника, кроме всего прочего тупее telnet может быть только echo.И умудриться ошибиться в этом коротком чуде достаточно трудно.

любой нормальный админ сразу после установки системы отключает telnetd. а про эту и другие дыры в telnetd было известно уже давно. ничего удивительного. поэтому тут и не поднялся флейм до сих пор ;)

Эксплойт - текст программы с помощью которой можно использовать описанную зачастую в этом же есплойте уязвимость, те дыру.

> любой нормальный админ сразу после установки системы отключает telnetd.
Ты забыл про хостинг-провайдеров. Тельнет у них пока не собирается никуда уходить,
так большинство пользователей сидят под виндой и перевести их на ssh проблематично.

Для линукса эта дыра не актуальна, так как исправлена была еще в начале 1999 года,
остальные тоже наверняка давно обновились. Вообще новость с длинной бородой.

нормальный админ вообще не ставит телнетд Ж))) А что касаемо трудностей по переводу юзеров на ssh, то на своем личном опыте убедился, что людям в принципе все равно, но слово "безопасность" заставляет их задуматься и в конечном итоге использовать тот же putty взамен станадртного виндового телнету, который кстати кривой до невозможности...

В телнете можно сидеть не более 1 мин. пока не установишь
ssh - PuTTY.
Да и win телнет удовольствие - ниже среднего (одно VT100/ANSI)чего
стоит:)

> нормальный админ вообще не ставит телнетд
Я нормальный админ, и все равно ставлю. Догадайся для чего. Подсказка: к серверу нет физического
доступа на консоль.

Ну и кто ты после этого?

Ладно, еще подсказка. Обновление sshd. Как проведешь без тельнета. Там есть
маленький подвох.

Ну что вариантов нет? Можешь не мучаться, даже если ты додумаешься переименовать
новый бинарник, запустить его на другом порту не выключая старый - все равно
останется маленькая тонкость, которую без тельнета не решить. Вот так-то, мой юный друг,
не спеши плевать в колодец.

Кстати есть еще как минимум одна ситуация в администрировании, когда без
тельнета (или его аналога) на удаленном сервере не обойтись.
Но это для тебя уже совсем тяжелый случай ;)

Хочу узнать про тонкость с удаленным обновлением ssh :))
Несколько раз обновлял - что я делал не так? :))))))

А openssl не обновлял? Ну так попробуй. Ситуация реальная. Скажем в базовой поставке
был openssh-2.3.0+openssl-0.9.6. В openssl за это время уже пару дырок нашли, да
и openssh здорово улучшили и интересное новшество ввели. Итого обновляемся до openssh-2.9p2+openssl-0.9.6b.

и что? что такого-то в удаленном обновлении?
я, извиняюсь, серваки удаленно меняю - одна ОС на другую, или версия линукса на другой (редхат на сузю например)

при этом полностью меняются библиотеки и т.д.
как ни странно - телнет при этом не нужен...

Shapa.

Ситуация описана. Исходные данные имеются. Возьми да повтори. Чего теории строить?
Какая версия openssl у тебя сейчас стоит? На последнюю удаленно поменять через ssh попробуй.
Желательно на локале сначала потренироваться ;)

telnet+kerberos vs ssh?

для любителей пообсирать линукс : Переполнение буфера в telnetd во многих системах (buffer overflow) Опубликовано: 19 июля 2001 г. Источник: BUGTRAQ Тип: удаленная Опасность: 10 Описание: Можно переполнить буфер с помощью опции AYT telnet-протокола. Затронутые продукты: FREEBSD:FreeBSD 5.0 FREEBSD:FreeBSD 4.3 OPENBSD:OpenBSD 2.9 BSDI:BSD/OS 4.2 NETBSD:NetBSD 1.5 SGI:IRIX 6.5 SUN:Solaris 2.8 LINUX:Linux netkit-telnetd 0.13 Оригинальный текст: Sebastian, multiple vendor telnet daemon vulnerability

все понятно бздешники отсосите

эксплоит можеш попробовать попросить у ребят из teso на ихнем icq может тебе и дадут ;)

2anonymous (*) (2001-07-21 04:16:07.0): эээ, а какие проблемы с использованием клиента ssh под виндами? :) Расскажи плиз поподробней? :)

> эээ, а какие проблемы с использованием клиента ssh под виндами?
Ты слишком узко понял смысл этой фразы. Ключевые слова - пользователи, винда, перевести.
Ты же сам когда-то имел отношение к ISP. Вот и ответь для чего или вернее для кого
на профессиональном хостинге дают доступ по тельнет. Я захожу под линуксом только
по ssh, т.к. работает он на модемной линии значительно живее за счет компрессии (ssh2).
А вот кому-то без тельнета хреново ;)

сам у своего пингвина отсасывай

это все в большинстве случаев действительности не соотвтствует на securityfocus за последние несколько месяцев тоже много сообщений про "уязвимость" XxxxBSD - только кроме логов с сообщениями о попытках взлома я у себя ничего не обнаружил - даже сам пробовал - думал - может они чего не так делают - так нетже - херня это все - надод пугать да BSD -based системы грязью обливать

сами сосите идиоты пингвинообразные - о.уели совсем

> про "уязвимость" XxxxBSD - только кроме логов с сообщениями о попытках
> взлома я у себя ничего не обнаружил

Чудик, тебя давно уже сломали, а следы затерли.

Отсасывать предлагаешь за компанию с Linux-ом, детка? В чём твоя супер-идея?

Чудик :) следы то оставили - о чем и говорю - ничего поломать то не смогли потому как не работает это ...

Отсасывать предлагаешь за компанию с Linux-ом, детка? В чём твоя супер-идея?

про отсос за компанию это я не понял - выражайтесь яснее

тупой флейм. меня там где-то обозвали "юным" так смею вас разочаровать - к сожалению это уже не про меня. А относительно всяких подвохов и невозможности физического доступа к консоли - ну если нет умения то не спасет ни ссш ни телнет... Для любителей пообсирать бздю: в опенбсд телнет по умолчанию выключен, на фрю я его обычно просто не ставлю, хватит письками меряться, толку от этого никакого

> Для любителей пообсирать бздю: в опенбсд телнет по умолчанию выключен,
Бред сивой кобылы. Выходит, openbsd безопасней, потому что в ней тельнет нужно включать руками?
Проще назвать что в ней включено по-умолчанию, чем то, что выключено ;)
Никто бздю без причины не обсирает. Просто убивают наповал подобные мудрые заявления
про мифическую безопасность openbsd. Аргументы тоже убийственные: "не включено по-умолчанию".
Так и хочется дать совет: если уж вам все равно не нужно ничего по-умолчанию,
дык можно сделать гораздо проще! Запустите голое ядро линукс с дискеты и наслаждайтесь безопасностью!
Нахрена еще какую-то дополнительную фигню ставить, если вам ничего из
этого не понадобится ;)

как я уже говорил free bsd старая умирающая система пик популярности которой прищелся на 90 е годы прошлого века BSD blue screen of death

посмотри netstat.ru. фря по кодичеству инсталяций на сервера кроет линуксъ как бык кобылу. да и на серваке фрю по-любому удобней юзеть.

посмотри netstat.ru. фря по кодичеству инсталяций на сервера кроет линуксъ как бык кобылу. да и на серваке фрю по-любому удобней юзеть.

согласен, что аргумент убийственный, только ты не учел очень простой вещи - 80 процентов "начинающих" админов ломают имеено из-а того, что куча ставиться куча ненужных сервисов, которые те по незнанию просто не отключают Ж) А относительно ядра - не нужно впадать в крайности, KSI тоже обладала подобным преимуществом, очевидно про это просто забыли... >Нахрена еще какую-то дополнительную фигню ставить, если вам ничего из этого не понадобится ;) потрясающая фраза, кстати, без шуток. советую следовать этому постулату и тогда прблем у вас будет значительно меньше Ж)

А вот последнему анонимусу я советую забросить пальцевыкидывание. Это ваше личное мнение и ходить с ним под лозунгами просто глупо, самоутвержайтесь другим способом Ж)

2 sergey_volosat (*) (2001-07-24 10:54:47.0)

мля я ведь хотел дописать : "только не надо отсылать меня к нетстату" ну видимо предется повторится да ее дохера используют только учти что многие из этих хостов так и стоят с 90x годов я знаю прсто грандиозные залежи вашей бзд которые не обновлялись с 96 года ... теперь про нетстат при всем моем уважении к нмапу точность определения ос у него в случае бсд подобных систем оставляет желать лучшего и вообше Андрей (aka duke) просто помешался на этой бзд и везде ее пропихивает ...

> только ты не учел очень простой вещи - 80 процентов "начинающих"
> админов ломают имеено из-а того, что куча ставиться куча ненужных сервисов

"Начинающие админы" - это еще более убийственный аргумент. Как на счет
"начинающего" хирурга, "начинающего" сапера? Все эти словосочетания имееют
один общий смысл - самоубийцы.

кхе... ну да ??? если бы не было "начинающих" хирургов лет 20 назад, кто бы народ лечил ??? Ж))) уважаемый, вы так и родились с умением разбираться с tcpdump и route ??? :) аргументы надо подбирать тщатенЕе...

Есть хороший анекдот на по теме :)). На первой лекции первого курса на IT специальности препад долго и нудно рассказывает о том какая потребность в програмистах, админах и т.д. заканчивает фразой; "А еще мы спасаем сотни жизней, потому как раньше такие болваны как вы шли в медицинский"

to "кхе... ну да":
Неужто так туго доходит? Начинающий хирург сначала учится по учебникам,
потом режет крыс, потом стоит рядом с гуру и подает инструмент, потом
делает простенькие операции под наблюдением старших, потом здает экзамены,
потом два года ординатуры... А ты решил все эти шаги пропустить.

ломается. как фря, так и луних. лишь бы ftpd был.

я ??? решил ??? Ж))) бог с вами, молодой человек ! если я и чего пропустил, то это период безумной гордости за себя из-за моих невиндовых склонностей, а также участия в демонстрациях на тему "винда маст дай" после 2-х установок линукса Ж))) Ну не прет меня подобный выпендреж, а многие здесь только так и самовыражаются... Люди, да работайте вы на винде, полуоси, фре, линухе, беосе, куениксе, да на чем угодно, мне лично это все равно. Только вот не надо пустых фраз и упреков в сторону того, в чем вы не разбераетесь. Это выглядит просто смешно. А относительно данной дискуссии - вы на сабж, уважаемые посмотрите, да опомнитесь хоть чуть-чуть Ж)) Все что я хотел сказать, что по-моему мнению телнет ставить надо только в крайних случаях, без него прекрасно можно обойтись.

ВСЕ !!! А вы все - наша линукс круче всеХ Ж)) прям партия какая-то, все агитируют Ну перерос я ее просто, 4-ре года сидел на ней и перестала она меня устраивать, это действительно так удивительно ??? ( гыыыы штихииии Ж)