Смотрите что принёс... Мэтью Брайант (спец по безопасности DNS) обнаружил и показал возможность получения контроля над доменом первого уровня, следствием чего является получение полного контроля над всеми доменами в доменной зоне. В ходе реализации атаки, Мэтью получил контроль над 4 из 7 первичных DNS в зоне .io. Смысл атаки сводится к поиску и регистрации освободившихся доменов, которые использовались в качестве имён первичных DNS. Обычно, регистрация таких доменов блокируется, но не в этом случае. В качестве примера, Метью зарегистрировал домен ns-a1.io, дождался активации услуги и убедился что он действительно получил контроль над одним из первичных NS.

Дабы не допустить возможность реализации атаки, исследователь зарегистрировал так же ns-a2.io, ns-a3.io и ns-a4.io и связался с поддержкой NIC.IO. На следующий день, он получил уведомление о блокировке доменов и возврате потраченных средств.

За подробностями можно заглянуть сюда:
https://goo.gl/ZUnepT

А здесь доступен инструментарий для проведения атаки:
https://github.com/mandatoryprogrammer/trusttrees

P. S. Ситуация на самом деле - жесть.

#security #dns

А тут ещё и Nginx обновился, закрыв уязвимость, которая при определённых обстоятельствах может привести к проблемам.

Вот здесь чуть подробнее:
http://mailman.nginx.org/pipermail/nginx-announce/2017/000200.html

Временное решение, для тех кому обновления пока что не доступны:

max_ranges 1;

#security #nginx

Коротко о том, как можно на VDS от DigitalOcean установить RouterOS. Делается всё одной командой, буквально за пару минут.

📘 Открыть Instant View
📗 Открыть на сайте

#routeros #digitalocean

По результатам общения с подписчиком дополню немного - способ актуален не только для DO. Аналогичным образом удаётся установить и запустить RouterOS на простом VDS с KVM виртуализацией.

#фидбечат

А я до последнего думал что идея "белых списков" покинула головы ответственных, работающих в РКН кадров. Но нет. Эволюционирует ли рекомендация в требование - вопрос интересный, многое определяющий.

Внезапно обнаружился бот, который якобы позволяет узнать номер телефона человека в Telegram. Достаточно просто переслать ему сообщение того, чей номер необходимо определить... @id2phone_bot

Поспрашивал несколько человек - сказали что бот номер отобразил верно. Моего номера, и номеров нескольких других моих знакомых он не знает. А как у вас обстоят дела?

Смог ли бот определить номер телефона автора пересылаемого ему сообщения?

✅ - Да, определил.
❎ - Нет, не определил.

И это... Аккуратнее там, берегите свои личные данные.

Форвард был прислан одним из пользователей. Сейчас этого сообщения там я не нашёл. Такие дела.

Помните писал о потенциальной уязвимости в systemd, которая появлялась в случаях, когда имя пользователя по какой-то причине начиналось с цифры? Так вот в очередном обновлении systemd эта проблема была закрыта. История продолжилась тем, что проблеме таки был назначен CVE идентификатор, а дистрибутивы стали рассматривать её как уязвимость.

В качестве решения было предложено блокировать загрузку юнитов с некорректными именами пользователей. С некоторыми оговорками Леннарт проблему признал и патч для решения одобрил. Исправление попало в версию systemd 234, которая увидела свет вчера. На Opennet можно заглянуть за подробностями:

https://goo.gl/TbokDH

#systemd

Бот более не доступен. Во всяком случае в том виде, в котором работал сегодня. Спасибо всем, кто принял участие в опросе.

На edX был запущен отличный курс по Kubernetes - системе управления контейнерами. Для тех кому не нужен сертифкат, курс должен быть доступен бесплатно. Подробности по ссылке ниже...

https://www.edx.org/course/introduction-kubernetes-linuxfoundationx-lfs158x

#kubernetes

Ещё одна заметка и скрипт для парсинга уже другого фотостока. Работает очень просто - указываем ключевик и страницу начала парсинга, получаем список адресов на изображения в отдельном файле. Ну и немного теории о том, как к такому скрипту можно прийти в принципе.

📘 Открыть Instant View
📗 Открыть на сайте

#bash #автоматизация

A мне, меж тем, отгрузили первую партию подарков на день Сисадмина для вас, друзья мои... Устроим розыгрыш среди подписчиков? Кто примет участие - нажмите на пингвина ниже. 🤓

Быстро проверить открыт ли тот или иной порт можно, например вот так:

$ (echo >/dev/tcp/sysadmin.pm/443) &>/dev/null && echo "Open" || echo "Close"
Open

Конструкцию удобно использовать при написании скриптов.

#будничное

Попросили скрипты приложить прямо сюда, в канал (любят пользователи Telegram что бы всё под рукой было). Собственно, прикладываю следующими сообщениями...

#фидбечат

Скрипт для автоматизации постинга изображений в Telegram канал.

#bash #автоматизация #telegram

Скрипт для парсинга фотостока stocksnap.io. Результат - список URL изображений по нужному ключевику.

#bash #автоматизация

Скрипт для парсинга фотостока pexels.com. Результат - список URL изображений по нужному ключевику.

#bash #автоматизация

Наткнулся на интересный мини-проект на гитхабе. Granscan - утилита для диагностики системы. Загляните, может быть сама утилита заинтересует, а может быть какие-то идеи из её реализации окажутся полезными.

https://github.com/adampie/granscan

Оказывается, не все знают о существовании STIGs (Security Technical Implementation Guides) для разных систем и вендоров. Вот здесь, на Github'е можно найти скрипт для проверки Debian 9, который основан на STIG для RHEL 7:

https://github.com/hardenedlinux/STIG-4-Debian

Администраторам, которым вопросы безопасности на серверах действительно критичны, рекомендую к изучению этой темы. О STIGs в принципе можно почитать здесь:

http://iase.disa.mil/stigs/Pages/index.aspx

#security #debian #stig

Интересная статистика по дистрибутивам, их репозиториям и пакетам...

https://repology.org/statistics/newest