tajwan, to nie jest pytanie na tą kategorię proszę
od razu o przeniesienie to raz. A dwa tego typu tematy już były, nigdy się nie dowiesz czy lepszy czy gorszy. Standardowa odpowiedź jeśli chodzi o
bezpieczeństwo zależy tylko i wyłącznie od administratora. Ktoś kiedyś napisał na forum BSD, że widział serwer zabezpieczony RedHata lepiej niż serwer na OpenBSD, co w openbsd wykryto w ciągu 9 lat tylko 2 dziury. Na Linuksa wychodzą codziennie nowe ,,exploity'', może nie codziennie ale często. Ja mam dużo znajomych (nie żeby się chwalić ale dla przykładu) co skanuje po nocach serwery, wrzucają ,,exploity'' i po takiej nocy codziennie mają nowe ,,rooty'', które wykorzystują do ,,ddosa''. Linkują serwery i jest moc. Ciężko odpowiedzieć na to pytanie jeśli chcesz mieć bezpieczeństwo
od razu po zainstalowaniu na serwer polecam OpenBSD. Ale mówię, że to zależy od administratora. Od wersji 4.0 z tego co wiem z ,,undergroundu'' trudniej już jest zhackować Debiana, od wersji 5.0 jeszcze trudniej. Masz w Linuksie debianowe kernele ja osobiście używam kernele z Gentoo masz tam najnowszego kernela 2.6.28-1 i ma grsec oraz PaX i to naprawdę podwyższa zabezpieczenie. Nawet jest tzw. ,,jail'', który daje wysoki poziom zabezpieczenia. Masz tu przykład:
Libsafe dzieki preloadzie niejako przeslania "niebezpieczne" funkcje z libc ich "bezpiecznymi" wariantami i jest w stanie w wiekszosci przypadkow wykryc probe naduzycia, chroni zatem (przynajmniej w teorii) przed wiekszoscia atakow typu buffer overflow i format string; "bezpieczna biblioteka" nie jest w stanie chronic binariow statycznie zlinkowanych z biblioteka libc; instalacja biblioteki jest bardzo prosta; po pobraniu i rozpakowaniu libsafe wydajemy polecenia:
* 1. $ make
* 2. # make install
zakonczenie:
Hybryda grsecurity+libsafe stanowi niezle zabezpieczenie systemu; chociaz nigdy nie mozemy czuc sie w 100% bezpieczni, to mamy dzieki niej znacznie wiekszy poziom bezpieczenstwa niz ten, prezentowany przez system zaraz po jego zainstalowaniu; na sam koniec zamieszczam wyniki dzialania exploitow dostarczonych z libsafe (w systemie dziala PaX i libsafe):
Kod: Zaznacz cały
[user@localhost exploits]$ ./t1
This program tries to use strcpy() to overflow the buffer.
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Libsafe version 2.0.16
Detected an attempt to write across stack boundary.
Terminating /home/amdfanatyk/src/libsafe-2.0-16/exploits/t1.
uid=500 euid=500 pid=18893
Call stack:
0x51251973 /lib/libsafe.so.2.0.16
0x51251ab6 /lib/libsafe.so.2.0.16
0x804858b /home/amdfanatyk/src/libsafe-2.0-16/exploits/t1
0x80485b1 /home/amdfanatyk/src/libsafe-2.0-16/exploits/t1
0x51119de1 /lib/libc-2.3.5.so
Overflow caused by strcpy()
Unicestwiony
[user@localhost exploits]$
Kod: Zaznacz cały
[user@localhost exploits]$ ./t1w
This program tries to use strcpy() to overflow the buffer.
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Libsafe version 2.0.16
Detected an attempt to write across stack boundary.
Terminating /home/amdfanatyk/src/libsafe-2.0-16/exploits/t1w.
uid=500 euid=500 pid=19328
Call stack:
0x55637973 /lib/libsafe.so.2.0.16
0x55637ccd /lib/libsafe.so.2.0.16
0x804858d /home/amdfanatyk/src/libsafe-2.0-16/exploits/t1w
0x80485b3 /home/amdfanatyk/src/libsafe-2.0-16/exploits/t1w
0x554ffde1 /lib/libc-2.3.5.so
Overflow caused by wcscpy()
Unicestwiony
[user@localhost exploits]$
Kod: Zaznacz cały
[user@localhost exploits]$ ./t3
This program will exec() a new program. The new program will
overflow the buffer using strcpy().
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Libsafe version 2.0.16
Detected an attempt to write across stack boundary.
Terminating /home/amdfanatyk/src/libsafe-2.0-16/exploits/t3.
uid=500 euid=500 pid=7679
Call stack:
0x5661a973 /lib/libsafe.so.2.0.16
0x5661aab6 /lib/libsafe.so.2.0.16
0x80485be /home/amdfanatyk/src/libsafe-2.0-16/exploits/t3
0x80486bc /home/amdfanatyk/src/libsafe-2.0-16/exploits/t3
0x564e2de1 /lib/libc-2.3.5.so
Overflow caused by strcpy()
Unicestwiony
[user@localhost exploits]$
Kod: Zaznacz cały
[user@localhost exploits]$ ./t3w
This program will exec() a new program. The new program will
overflow the buffer using strcpy().
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Libsafe version 2.0.16
Detected an attempt to write across stack boundary.
Terminating /home/amdfanatyk/src/libsafe-2.0-16/exploits/t3w.
uid=500 euid=500 pid=25982
Call stack:
0x54701973 /lib/libsafe.so.2.0.16
0x54701ab6 /lib/libsafe.so.2.0.16
0x80485f2 /home/amdfanatyk/src/libsafe-2.0-16/exploits/t3w
0x8048705 /home/amdfanatyk/src/libsafe-2.0-16/exploits/t3w
0x545c9de1 /lib/libc-2.3.5.so
Overflow caused by strcpy()
Unicestwiony
[user@localhost exploits]$
Kod: Zaznacz cały
[user@localhost exploits]$ ./t4
This program will fork() child process, and the child
will overflow the buffer using strcpy().
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Libsafe version 2.0.16
Detected an attempt to write across stack boundary.
Terminating /home/amdfanatyk/src/libsafe-2.0-16/exploits/t4.
uid=500 euid=500 pid=23167
Call stack:
0x56e2a973 /lib/libsafe.so.2.0.16
0x56e2aab6 /lib/libsafe.so.2.0.16
0x80485ee /home/amdfanatyk/src/libsafe-2.0-16/exploits/t4
0x804868a /home/amdfanatyk/src/libsafe-2.0-16/exploits/t4
0x56cf2de1 /lib/libc-2.3.5.so
Overflow caused by strcpy()
parent process terminating
[user@localhost exploits]$
Kod: Zaznacz cały
[user@localhost exploits]$ ./t4w
This program will fork() child process, and the child
will overflow the buffer using strcpy().
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Libsafe version 2.0.16
Detected an attempt to write across stack boundary.
Terminating /home/amdfanatyk/src/libsafe-2.0-16/exploits/t4w.
uid=500 euid=500 pid=4405
Call stack:
0x50f43973 /lib/libsafe.so.2.0.16
0x50f43ab6 /lib/libsafe.so.2.0.16
0x8048626 /home/amdfanatyk/src/libsafe-2.0-16/exploits/t4w
0x80486d7 /home/amdfanatyk/src/libsafe-2.0-16/exploits/t4w
0x50e0bde1 /lib/libc-2.3.5.so
Overflow caused by strcpy()
parent process terminating
[user@localhost exploits]$
Kod: Zaznacz cały
[user@localhost exploits]$ ./t5
This program tries to use strcat() to overflow the buffer.
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Libsafe version 2.0.16
Detected an attempt to write across stack boundary.
Terminating /home/amdfanatyk/src/libsafe-2.0-16/exploits/t5.
uid=500 euid=500 pid=2527
Call stack:
0x51162973 /lib/libsafe.so.2.0.16
0x51162fa1 /lib/libsafe.so.2.0.16
0x80485ac /home/amdfanatyk/src/libsafe-2.0-16/exploits/t5
0x80485d5 /home/amdfanatyk/src/libsafe-2.0-16/exploits/t5
0x5102ade1 /lib/libc-2.3.5.so
Overflow caused by strncat()
Unicestwiony
[user@localhost exploits]$
Kod: Zaznacz cały
[user@localhost exploits]$ ./t6
This program tries to use scanf() to overflow the buffer.
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Unicestwiony
[user@localhost exploits]$
Kod: Zaznacz cały
[user@localhost exploits]$ ./canary-exploit
This program tries to use printf("%n") to overwrite the
return address on the stack.
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Unicestwiony
[user@localhost exploits]$
Kod: Zaznacz cały
[user@localhost exploits]$ ./exploit-non-exec-stack
This program demonstrates how a (stack) buffer overflow
can attack linux kernels with *non-executable* stacks.
This is variation on return-int-libc attack.
If you get a /bin/sh prompt, then the exploit has worked.
Press any key to continue...
Unicestwiony
[user@localhost exploits]$
Jak widac w przypadku exploitow: t6, canary-exploit, exploit-non-exec-stack nie zadzialalo libsafe; programy zostaly zabite dzieki ochronie PaX'a.
Masz tu wykorzystanie Paxa, który blokuje libsafe. Wszystko zależy od tego co adminstrator weźmie pod uwagę, zależy co chcę osiągnąć na co serwer. Debian jest świetny jeśli chodzi o pakiety masz tam około 20.000 tys. pakietów ze starych źródeł w sensie Debiana 3.0 było około 19.700 pakietów. Masz grsecurity, które ci daje dużą wyższość (jak dla mnie) niż stadnardowych kerneli, ale kernel to nie wszystko, masz jeszcze www mysql, php itp. przez które wykorzystanie dziur można bardzo łatwo się włamać, dlatego w grsec powstał odpowiednik jail z freebsd itd. Nie chce mi się pisać dalej bo mam inne zajęcie. Dlatego mówię jaki system byś nie wybrał wszystko zależy od admina. Ja ci proponuję Debiana ze względu na pakiety, handbook, wsparcie, masz od groma zabezpieczeń co do serwerów na Debianie, oprócz tego inna możliwość kompilowania jądra wraz z grsecurity poprzez hgkg itd.
po prostu coś pięknego. Nawet przez apt-get albo przez aptitude możesz ściągnąć kernele z vax, vserver itd. reszta Google. Pozdrawiam.