|
|
3.9, Нанобот (ok), 09:56, 10/04/2015 [^] [^^] [^^^] [ответить]
| +4 +/– |
> какой ужс засветить локальный ип...
там было 80.150.216.115, потом исправили
| |
|
4.11, Anonim (??), 10:06, 10/04/2015 [^] [^^] [^^^] [ответить]
| +29 +/– |
>> какой ужс засветить локальный ип...
>
> там было 80.150.216.115, потом исправили
Граждане, уберите ip сервера из комментария! :)
| |
|
|
2.8, Нанобот (ok), 09:56, 10/04/2015 [^] [^^] [^^^] [ответить]
| +2 +/– |
о ужас! они опубликовали ip-адрес, зная его, хакиры смогут зверски расправиться с сервером!!111
З.Ы раз убрали адрес, тогда уже и ссылку на багрепорт тоже следует убрать, а то особо прокачаные истерички смогут сходить по ней и тоже обнаружить там ip-адрес!!!111
а лучше сразу весь ихний багтрекер в добавить реестр запрещённых сайтов, за склонение к совершению преступления
| |
|
1.2, Аноним (-), 09:33, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
добавим, что данный мод появился в 1.3.4 - Slowpoke могут продолжать спать!
| |
|
2.40, Nas_tradamus (ok), 18:40, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
Сервак на убунте:
telnet ftp.site.ru 21
Trying 81.108.142.19...
Connected to ftp.site.ru.
Escape character is '^]'.
220 ProFTPD 1.3.4a Server (Site_RU) [81.108.142.19]
site cpfr /etc/passwd
500 'SITE CPFR' not understood
site cpto /tmp/passwd.copy
503-Bad sequence of commands
503 Bad sequence of commands
500 Invalid command: try being more creative
| |
|
|
2.84, Аноним (-), 13:13, 12/04/2015 [^] [^^] [^^^] [ответить]
| +1 +/– |
> ftp и php - созданы друг для друга
Кто о чем, а буратино гремит бидоном :)
| |
|
1.5, luzerz (?), 09:41, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
у них уже не работает(
Trying 80.150.216.115...
Connected to 80.150.216.115.
Escape character is '^]'.
220 ProFTPD 1.3.5rc3 Server (Debian) [::ffff:80.150.216.115]
site cpfr /etc/passwd
350 File or directory exists, ready for destination name
site cpto /tmp/passwd.copy
500 Invalid command: try being more creative
| |
|
2.6, luzerz (?), 09:41, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
хотя не
скопипастил криво
работает
site cpto /tmp/passwd.copy
250 Copy successful
| |
|
3.19, Аноним (-), 11:59, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
фтп демон от рута работает штоль?
Зачем вообще выполнять команды до аунтификации?
| |
|
|
1.7, adminlocalhost (?), 09:48, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
в centos из коробки без него proftpd -V | grep -i copy
в сусе он shared - cd /usr/lib64/proftpd && mv mod_copy.so{,.0} && service proftpd restart
так что живем пока, жаль только что proftpd подтверждает свою дырявость...
| |
|
2.51, vlikhachev (ok), 20:46, 10/04/2015 [^] [^^] [^^^] [ответить]
| +2 +/– |
> в centos из коробки без него proftpd -V | grep -i copy
> в сусе он shared - cd /usr/lib64/proftpd && mv mod_copy.so{,.0} && service
> proftpd restart
> так что живем пока, жаль только что proftpd подтверждает свою дырявость...
В CentOS оно не так
ftp> site cpfr /etc/passwd
500 'SITE CPFR' not understood
ftp> site copy from /etc/passwd
500 'SITE COPY' not understood
ftp> site help
214-The following SITE commands are recognized (* =>'s unimplemented)
HELP
CHGRP
CHMOD
214 Direct comments to root@localhost
ftp> quit
221 Goodbye.
Где Ваша дырявость находится - в Ubuntu, что ли?
| |
|
3.77, Аноним (-), 07:51, 12/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
читать сообщение, перед тем как что-то писать в ответ, не пробовал?
| |
|
|
1.10, Аноним (-), 09:59, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
У меня Slackware-14.1. К сожалению (или счастью - не получилось ничего):
ftp> passive
Passive mode on.
ftp> dir
227 Entering Passive Mode (Hele is ftp ip address,217,234)
150 Opening ASCII mode data connection for file list
drwxr-xr-t 2 ftp ftp 4096 Mar 10 06:58 incoming
drwxrwsr-x 7 root wheel 4096 Jan 10 08:54 pub
-rw-r--r-- 1 root root 366 Oct 20 2009 welcome.msg
226 Transfer complete
ftp> site cpfr /etc/passwd
505 Security server forbids SITE commands. Contact admin.
ftp> quit
221 Goodbye.
| |
|
|
3.14, Аноним (-), 10:43, 10/04/2015 [^] [^^] [^^^] [ответить] | +/– | Да, тоже не работает 230-Connected to server Logging in 230-220 ProFTPD 1 3... большой текст свёрнут, показать | |
|
|
5.20, бедный буратино (ok), 12:02, 10/04/2015 [^] [^^] [^^^] [ответить]
| –2 +/– |
> Кому що, а бабцi - курки :)
> Мы же поняли, что ты не любишь php. Можешь выдыхать.
увы, из песни ты не понял ничего...
а на php мне как-то фиолетово. речь идёт о конкретной культуре...
| |
|
6.45, Аноним (-), 20:11, 10/04/2015 [^] [^^] [^^^] [ответить]
| +1 +/– |
> речь идёт о конкретной культуре...
Из тебя культура так и прет. Конкретно.
| |
|
|
|
|
|
1.16, Омномним (?), 11:33, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Хорошо, что я на своей toy vps-ке поставил vsftpd.
(Ожидаю советов от достопочтенных анонимусов, почему я это сделал зря.)
| |
|
|
3.46, Аноним (-), 20:12, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Зачем тебе FTP? Роль FTP прекрасно заменяют python или lighttpd + SFTP.
А питон там нафуа? Можно какой-нибудь webdav использовать, наконец, если загрузка файлов нужна.
| |
|
4.104, Анонимус сапиенс (?), 22:40, 21/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
>> Зачем тебе FTP? Роль FTP прекрасно заменяют python или lighttpd + SFTP.
> А питон там нафуа? Можно какой-нибудь webdav использовать, наконец, если загрузка файлов
> нужна.
Анонимный FTP
| |
|
|
|
|
|
|
4.30, Аноним (-), 14:33, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
Согласен. Pure-ftpd vs Vsftpd сравнить не могу, ибо последний не использовал.
По-моему, оба security-first designed.
| |
|
|
2.86, Nas_tradamus (ok), 13:50, 12/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Лучше уж pureftpd.
Он довольно топорный и меньше фич в нем реализовано.
Pure не умеет несколько разных публичных ftp на разных ip, например. Это может понадобиться в хостинге.
| |
|
1.23, Аноним (-), 12:28, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Centos 5, 6, 7 не подвержены.
Debian 6 не подвержен.
Ubuntu 10.04 не подвержен.
Фикс для Ubuntu 14.04, Ubuntu 12.04, Debian 7
sed -i 's|LoadModule mod_copy.c|#LoadModule mod_copy.c|g' /etc/proftpd/modules.conf
service proftpd restart
| |
1.24, BadUID (?), 13:10, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
вынес вперед тапками 2 модуля
mod_copy и mod_site_misc.
на FreeBSD в портах убираете в Makefile в модулях
mod_copy
в pkg-plist убираете mod_copy и mod_site_misc
сначала deinstall потом заново поставить. проверил - проблем нету
| |
|
2.78, Аноним (-), 08:06, 12/04/2015 [^] [^^] [^^^] [ответить] | +/– | так оно и так не подвержено, нахрена эти телодвижения модуль собирается, но не ... большой текст свёрнут, показать | |
|
1.31, Аноним (-), 14:52, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Кто-то ещё юзает это дырявое пoделие? Даже так, кто-то ещё юзает недoпротокол ftp как таковой?
| |
|
2.34, cmp (ok), 15:27, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Даже так, кто-то ещё юзает недoпротокол
> ftp как таковой?
Да, его поддерживают почти все l2 коммутаторы.
> Кто-то ещё юзает это дырявое пoделие?
В некоторых встраиваемых прошивках оно встроенно, sshfs тоже есть, но с шифрованием канала скорость просто атас.
А на серверах, да, эпик фейл, достаточно заголовки новостей про него почитать и сравнить с аналогичными о vsftpd, странно, что redhat это недоразумение не выпилил без возможности запилить))
| |
|
3.35, Аноним (-), 15:47, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Да, его поддерживают почти все l2 коммутаторы.
с tftp не путай
| |
|
4.60, cmp (ok), 07:25, 11/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
>> Да, его поддерживают почти все l2 коммутаторы.
> с tftp не путай
А я и не путаю))
| |
|
3.47, Аноним (-), 20:14, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Да, его поддерживают почти все l2 коммутаторы.
А мой кЕтайский тетрис его не поддерживает.
> В некоторых встраиваемых прошивках оно встроенно,
Так там и файлы обычно не перекидывают гигазами.
| |
|
2.36, Аноним (-), 16:00, 10/04/2015 [^] [^^] [^^^] [ответить]
| +3 +/– |
> Кто-то ещё юзает это дырявое пoделие? Даже так, кто-то ещё юзает недoпротокол
> ftp как таковой?
протокол может и не идеальный, но единственный который 10гбит/с линк утилизирует нормально. все эти ваши модные эсфытыпы и хытытыпы даже половины этой скорости не выжимают.
| |
|
3.48, Demo (??), 20:23, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> протокол может и не идеальный, но единственный который 10гбит/с линк утилизирует
> нормально. все эти ваши модные эсфытыпы и хытытыпы даже половины этой скорости
> не выжимают.
Пробовал по FTP передавать файлы между серверами (оба подключены 10 Гбит/с) в Далласе и Амстердаме, видел жалкие 30—100 Мегабит/с, в зависимости от величины суточного пинга. А вот когда выкинул FTP и заюзал tsunami, то да — совсем другое дело.
| |
|
|
1.37, pony (?), 16:08, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
у ftp очень плохи дела, когда надо передавать много мелких файлов
| |
|
2.38, _KUL (ok), 16:38, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
Решается разрешением многопоточности.
Дела у протокола плохи тем, что пароль в чистом виде по сети ходит при авторизации, вот это реально плохо ...
| |
|
3.49, vlikhachev (ok), 20:35, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Решается разрешением многопоточности.
> Дела у протокола плохи тем, что пароль в чистом виде по сети
> ходит при авторизации, вот это реально плохо ...
Так сделайте же анонимный вход с доверенных IP адресов, и если они работают 24/7/365 (и к тому же ProFTPD от юзера nobody работает) - вполне себе безопасно...
| |
|
4.70, _KUL (ok), 09:08, 11/04/2015 [^] [^^] [^^^] [ответить]
| –1 +/– |
Не выход - в одном броадкасте злодей может себе ип доверенный повесить и беда.
| |
|
5.89, Anonymous1 (?), 14:26, 12/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
Ну в одном broadcast-е злодей может и свой интерфейс в promiscque mode включить, либо в bridge к нему добавить dummy0 и все Ваши, даже шифрованные, пакеты кушать и (впоследствии) расшифровывать... Чуть дольше получится, но тем не менее...
Хотя несколько сомнительно - если, конечно, это белые V4 адреса приемника и получателя (обычно из существенно разных сетей), то трафик к другой сети пойдет через default GW, а не локально, либо нужно сломать саму машину с FTP и переписать на ней роутинг...
| |
|
|
|
|
1.41, Администратор Сетей (?), 19:03, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
ФТП очень даже нормальный средство передатчи файлив, только вы неумеете им пользоватся!
ProFTPd исользую на сотнях карпораттивних серверах и за 10 лет неперывной эксплоутациы небыло замечено негативных моментов использования данного професианального ПО.
А истирить в камментах будут всегда, нато они и троли-истиричи...
| |
|
2.44, Аноним (-), 20:09, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
FTP отличный протокол. Только файрвол задолбаешься настраивать и работать будет с костылями, черти-как.
| |
|
3.50, vlikhachev (ok), 20:41, 10/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> FTP отличный протокол. Только файрвол задолбаешься настраивать и работать будет с костылями,
> черти-как.
ЭЭЭ... Пардон, мы ведь про iptables сейчас говорим, или у Вас BSD?
| |
|
4.83, Аноним (-), 13:09, 12/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> ЭЭЭ... Пардон, мы ведь про iptables сейчас говорим, или у Вас BSD?
Мы говорим про то что этот супер-протокол или требует весьма неординарных костылей (кастомный модуль connection tracking) или имеет уйму проблем. С прокси там тоже все своеобразно.
Да и времени на установку ДВУХ соединений уходит немало. По поводу чего например заливка кучи мелочи на фтп - "обосpaтьсяужаснaх!"
| |
4.87, Nas_tradamus (ok), 13:58, 12/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
>> FTP отличный протокол. Только файрвол задолбаешься настраивать и работать будет с костылями,
>> черти-как.
> ЭЭЭ... Пардон, мы ведь про iptables сейчас говорим, или у Вас BSD?
В BSD как раз и не надо ничего предпринимать, если у вас FTP за натом: pf и ipfw сами его стейты разруливают "из коробки".
В случае iptables нужно лишь подгрузить conntrack-helper в ядро.
Не rocket sience же.
| |
|
|
|
1.43, Капитан (??), 19:45, 10/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Всегда использую PureFTPd отличный сервер для FTP безопасный/функциональный.
| |
1.59, Аноним (-), 01:53, 11/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
У ProFTPD такой здоровенная история уязвимостьей, что им пользуются только камикадзы.
| |
|
2.82, ALex_hha (ok), 12:44, 12/04/2015 [^] [^^] [^^^] [ответить]
| +1 +/– |
> У ProFTPD такой здоровенная история уязвимостьей, что им пользуются только камикадзы.
когда нужен широкий функционал, то выбора особо то и нет. Так что приходится платить
| |
2.91, а (?), 12:05, 13/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
Точно, ещё несколько лет назад увидев в новостях несколько раз подряд сообщения об уязвимостях в ProFTP перешёл на vsftpd.
| |
|
1.61, Alex (??), 07:47, 11/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Какая прелесть...
Блин, счастье, что никогда не рассматривал эту студенческую поделку ака ProFTPD всерьёз. Только vsftpd, только хардкор.
| |
|
2.81, ALex_hha (ok), 12:43, 12/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Какая прелесть...
> Блин, счастье, что никогда не рассматривал эту студенческую поделку ака ProFTPD всерьёз.
> Только vsftpd, только хардкор.
потому что у vsftpd функционала - кот наплакал, поэтому и уязвимостей находя намного меньше.
| |
|
3.97, AlexAT (ok), 21:22, 14/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
Простите, но древнющему говну мамонта а-ля FTP весь этот "функционал" совершенно без надобности. Основное его назначение - дать клиенту, не умеющему ничего другого, спокойно закопировать туда-сюда пару файлов. Для себя же (внутри) проще юзать scp, sftp (не путать с FTPoTLS), rsync и прочее.
| |
|
4.98, Nas_tradamus (ok), 23:08, 14/04/2015 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Простите, но древнющему говну мамонта а-ля FTP весь этот "функционал" совершенно без
> надобности. Основное его назначение - дать клиенту, не умеющему ничего другого,
> спокойно закопировать туда-сюда пару файлов. Для себя же (внутри) проще юзать
> scp, sftp (не путать с FTPoTLS), rsync и прочее.
Раз вам не надо - значит и другим не надо. Ясно.
а про scp пацаны-то и не знали...
| |
|
5.99, AlexAT (ok), 23:24, 14/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Раз вам не надо - значит и другим не надо. Ясно.
Ну надо - хорошо. Поломали в очередной раз - тоже хорошо. Dixi.
| |
|
4.100, ALex_hha (ok), 10:45, 15/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Простите, но древнющему говну мамонта а-ля FTP весь этот "функционал" совершенно без
> надобности. Основное его назначение - дать клиенту, не умеющему ничего другого,
> спокойно закопировать туда-сюда пару файлов. Для себя же (внутри) проще юзать
> scp, sftp (не путать с FTPoTLS), rsync и прочее.
если вам нужен только ftp, то безусловно, proftpd вам точно не нужен, а хватит vsftpd. Если же вам нужно что то больше, чем банальный ftp, то тут и начинаются проблемы.
| |
|
5.101, AlexAT (ok), 19:34, 15/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Если же вам нужно что то больше, чем банальный ftp
то лучше FTP вообще не использовать ни под каким соусом.
| |
|
6.102, Nas_tradamus (ok), 19:39, 15/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
>> Если же вам нужно что то больше, чем банальный ftp
> то лучше FTP вообще не использовать ни под каким соусом.
А как обмениваться многогигабайтными файлами между кучей поставщиков/партнёров/клиентов маленькой фирме?
| |
|
|
|
|
2.88, Nas_tradamus (ok), 14:01, 12/04/2015 [^] [^^] [^^^] [ответить]
| –2 +/– |
> Какая прелесть...
> Блин, счастье, что никогда не рассматривал эту студенческую поделку ака ProFTPD всерьёз.
> Только vsftpd, только хардкор.
Сравните объем кода и функционала у этих двух программ.
Вы только что сделали сравнение вида "postgres vs sqlite", обозвав первый студенческой поделкой.
| |
|
1.71, Аноним (-), 14:34, 11/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
На Ubuntu комментируем в /etc/proftpd/modules.conf строку LoadModule mod_copy.c, рестартим proftpd - PROFIT! "500 SITE CPFR" not understood. И кто сказал, что модуль нельзя выключить? Проверено на версии 1.3.5rc3
| |
1.79, Аноним (-), 09:49, 12/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Подскажите, почему при тестирование некоторых серверов с одинаковыми версиями ProFTPD, есть возможность выполнять команды "site cpfr" и "site cpto", а в некоторых их нету. Хотя вроде версии ProFTPD одинаковые.
Это зависит от ОС?
| |
1.90, Аноним (-), 14:52, 12/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Debian Squeeze: ProFTPD версии 1.3.3a, mod_copy там ещё нет.
Debian Wheezy: ProFTPD версии 1.3.4a, mod_copy отключается в /etc/proftpd/modules.conf.
| |
1.92, Аноним (-), 19:41, 13/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Проверил на Debiane, да в папку tmp копирует,
НО при копирование в /var/www/ выдает Access denied
:/
Не знаю, как они там скопировали test.php... (
| |
|
2.93, Nas_tradamus (ok), 19:43, 13/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Проверил на Debiane, да в папку tmp копирует,
> НО при копирование в /var/www/ выдает Access denied
> :/
> Не знаю, как они там скопировали test.php... (
В /tmp может писать любой юзер, потому что. А копирование идёт от юзера, от которого запущено приложение.
| |
|
3.94, Аноним (-), 20:06, 13/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
>> Проверил на Debiane, да в папку tmp копирует,
>> НО при копирование в /var/www/ выдает Access denied
>> :/
>> Не знаю, как они там скопировали test.php... (
> В /tmp может писать любой юзер, потому что. А копирование идёт от
> юзера, от которого запущено приложение.
Тогда какие ещё есть мысли на этот счет? Что можно сделать? Используя данную уязвимость, были мысли прописать в крон что-нибудь, но ведь там тоже Access Denied
| |
|
4.95, Аноним (-), 12:37, 14/04/2015 [^] [^^] [^^^] [ответить]
| –1 +/– |
>>> Проверил на Debiane, да в папку tmp копирует,
>>> НО при копирование в /var/www/ выдает Access denied
>>> :/
>>> Не знаю, как они там скопировали test.php... (
>> В /tmp может писать любой юзер, потому что. А копирование идёт от
>> юзера, от которого запущено приложение.
> Тогда какие ещё есть мысли на этот счет? Что можно сделать? Используя
> данную уязвимость, были мысли прописать в крон что-нибудь, но ведь там
> тоже Access Denied
ну, например, спереть что душе угодно, от сертефикатов, до баз с кредитками и файликов с хешами паролей...
| |
|
5.96, Аноним (-), 13:27, 14/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
>[оверквотинг удален]
>>>> НО при копирование в /var/www/ выдает Access denied
>>>> :/
>>>> Не знаю, как они там скопировали test.php... (
>>> В /tmp может писать любой юзер, потому что. А копирование идёт от
>>> юзера, от которого запущено приложение.
>> Тогда какие ещё есть мысли на этот счет? Что можно сделать? Используя
>> данную уязвимость, были мысли прописать в крон что-нибудь, но ведь там
>> тоже Access Denied
> ну, например, спереть что душе угодно, от сертефикатов, до баз с кредитками
> и файликов с хешами паролей...
Интересно было бы увидить пример, допустим мы можем копировать файлы, в папку tmp, но как с неё считать их? В
| |
|
|
|
|
|