Comentarios en: Shellshock: su significado en el mundo de la infosec https://www.enter.co/especiales/enterprise/shellshock-su-significado-en-el-mundo-de-la-infosec/ Tecnología y Cultura Digital Fri, 03 Oct 2014 05:12:00 +0000 hourly 1 https://wordpress.org/?v=6.9.4 Por: simon-pc https://www.enter.co/especiales/enterprise/shellshock-su-significado-en-el-mundo-de-la-infosec/#comment-152661 Fri, 03 Oct 2014 05:12:00 +0000 http://www.enter.co/?p=178778#comment-152661 En respuesta a waspper.

Cof Cof Cof

env x='() { :;}; echo Tener el sistema al dia no es suficiente’ bash -c “Los sistemas estaban al dia hace uno dias antes de bash bug”

ya existen 13 variantes conocidas del bug y 7 sin parche oficial.

]]> Por: simon-pc https://www.enter.co/especiales/enterprise/shellshock-su-significado-en-el-mundo-de-la-infosec/#comment-326851 Fri, 03 Oct 2014 05:12:00 +0000 http://www.enter.co/?p=178778#comment-326851 En respuesta a waspper.

Cof Cof Cof

env x='() { :;}; echo Tener el sistema al dia no es suficiente’ bash -c “Los sistemas estaban al dia hace uno dias antes de bash bug”

ya existen 13 variantes conocidas del bug y 7 sin parche oficial.

]]> Por: simon-pc https://www.enter.co/especiales/enterprise/shellshock-su-significado-en-el-mundo-de-la-infosec/#comment-152660 Fri, 03 Oct 2014 05:03:00 +0000 http://www.enter.co/?p=178778#comment-152660 En respuesta a VooDooChicken.

Generalmente todos los publi-reportajes de lock net son asi, vagos, incompletos y con comparaciones nada comparables.

VooDooChicken gracias me ahorro un post.

]]> Por: simon-pc https://www.enter.co/especiales/enterprise/shellshock-su-significado-en-el-mundo-de-la-infosec/#comment-326850 Fri, 03 Oct 2014 05:03:00 +0000 http://www.enter.co/?p=178778#comment-326850 En respuesta a VooDooChicken.

Generalmente todos los publi-reportajes de lock net son asi, vagos, incompletos y con comparaciones nada comparables.

VooDooChicken gracias me ahorro un post.

]]> Por: waspper https://www.enter.co/especiales/enterprise/shellshock-su-significado-en-el-mundo-de-la-infosec/#comment-152531 Thu, 02 Oct 2014 02:08:00 +0000 http://www.enter.co/?p=178778#comment-152531 … Hace ya unos días que en los repositorios está la actualización de Bash. Con tener el sistema al día es más que suficiente.

]]> Por: waspper https://www.enter.co/especiales/enterprise/shellshock-su-significado-en-el-mundo-de-la-infosec/#comment-326719 Thu, 02 Oct 2014 02:08:00 +0000 http://www.enter.co/?p=178778#comment-326719 … Hace ya unos días que en los repositorios está la actualización de Bash. Con tener el sistema al día es más que suficiente.

]]> Por: VooDooChicken https://www.enter.co/especiales/enterprise/shellshock-su-significado-en-el-mundo-de-la-infosec/#comment-152503 Wed, 01 Oct 2014 21:27:00 +0000 http://www.enter.co/?p=178778#comment-152503 (editado) así como lo describen me parece un poco exagerado. bash es un shell. un shell no es el núcleo del sistema operativo, sino lo que pone en contacto al usuario con el sistema operativo (lo que en dos era el command .com), es decir no el que hace las cosas sino el que interpreta la línea de comandos y de acuerdo con eso llama los servicios que ofrece el sistema, o en pocas palabras, ‘es’ la línea de comandos (el sistema de ventanas, como unity, también es un shell, pero en vez de texto se maneja con el mouse. no confundir con ‘the bash’ de ubuntu, que también es una ventana).
por un lado, así como en dos había forma de cambiar el shell y escoger otra cosa diferente a command .com (pero nadie lo hacía, ya que como para qué), pues si el problema es de bash, se puede escoger otro shell.
por otro lado, lo que dicen acá.. hay páginas que llaman comandos etc etc. hmm.. tal vez eso sea posible, pero si llega a suceder, al que hizo eso deberían despedirlo. eso se llama ‘inyecciones de código’, y equivale a decir que lo que escriba el usuario en un for,ato de una página, se ejecuta como un comando; por ejemplo, que en vez de ‘enter.co’ yo escribiera ‘enter.co?com=del*.*’ [aclaración, lo anterior no hace nada, pero lo pongo de ejemplo como si se pudiera hacer], o que en vez de nombre de usuario,c uandof uera a hacer el login, le pusiera algo como dir /root/. lo de inyecciones no es nuevo, se usa en bases de datos y como no es nuevo, para eso se revisa cuando se hace una página.. pero si eso llega apasar, es porque el que hizo la página así lo permite. y si se toman medidas de seguridad para bases de datos, pues nadie con dos dedos de frente va a conectar directamente la línea de comandos con lo que el usuario ponga en la página.. entonces el problema realmente no es ése, y dudo que en realidad, para fines prácticos, haya páginas que hagan eso (aunque es posible hacerlas, pero tendrían qué hacer eso a propósito).. y si se le suelta la línea de omandos al usuario.. pues el hecho de hacer cadenas raras sería el mínimo de los problemas
por otro lado, no es que los comandos se ejecuten desde la página, es que un usuario tenga acceso ala línea de comandos por otro lado (no a travñes de una página). normalmente los administradores de sitios web tienen eso en cuenta y cierran los accesos externos a la línea de comandos, pero es algo a tener en cuenta

]]> Por: VooDooChicken https://www.enter.co/especiales/enterprise/shellshock-su-significado-en-el-mundo-de-la-infosec/#comment-326690 Wed, 01 Oct 2014 21:27:00 +0000 http://www.enter.co/?p=178778#comment-326690 (editado) así como lo describen me parece un poco exagerado. bash es un shell. un shell no es el núcleo del sistema operativo, sino lo que pone en contacto al usuario con el sistema operativo (lo que en dos era el command .com), es decir no el que hace las cosas sino el que interpreta la línea de comandos y de acuerdo con eso llama los servicios que ofrece el sistema, o en pocas palabras, ‘es’ la línea de comandos (el sistema de ventanas, como unity, también es un shell, pero en vez de texto se maneja con el mouse. no confundir con ‘the bash’ de ubuntu, que también es una ventana).
por un lado, así como en dos había forma de cambiar el shell y escoger otra cosa diferente a command .com (pero nadie lo hacía, ya que como para qué), pues si el problema es de bash, se puede escoger otro shell.
por otro lado, lo que dicen acá.. hay páginas que llaman comandos etc etc. hmm.. tal vez eso sea posible, pero si llega a suceder, al que hizo eso deberían despedirlo. eso se llama ‘inyecciones de código’, y equivale a decir que lo que escriba el usuario en un for,ato de una página, se ejecuta como un comando; por ejemplo, que en vez de ‘enter.co’ yo escribiera ‘enter.co?com=del*.*’ [aclaración, lo anterior no hace nada, pero lo pongo de ejemplo como si se pudiera hacer], o que en vez de nombre de usuario,c uandof uera a hacer el login, le pusiera algo como dir /root/. lo de inyecciones no es nuevo, se usa en bases de datos y como no es nuevo, para eso se revisa cuando se hace una página.. pero si eso llega apasar, es porque el que hizo la página así lo permite. y si se toman medidas de seguridad para bases de datos, pues nadie con dos dedos de frente va a conectar directamente la línea de comandos con lo que el usuario ponga en la página.. entonces el problema realmente no es ése, y dudo que en realidad, para fines prácticos, haya páginas que hagan eso (aunque es posible hacerlas, pero tendrían qué hacer eso a propósito).. y si se le suelta la línea de omandos al usuario.. pues el hecho de hacer cadenas raras sería el mínimo de los problemas
por otro lado, no es que los comandos se ejecuten desde la página, es que un usuario tenga acceso ala línea de comandos por otro lado (no a travñes de una página). normalmente los administradores de sitios web tienen eso en cuenta y cierran los accesos externos a la línea de comandos, pero es algo a tener en cuenta

editado 2: y no me parece comparable a lo de heartbleed. para esto, ud puede revisar su computador y mirar si sus páginas están bien hechas yq ué permisos le da a cada cosa, para el hertbleed ud no puede controlar si alguien lo chuza o no lo chuza durante el camino de los datos

]]>