DoS v praxi aneb PHPSYSINFO je nebezpečné

23.11.2009 08:47 | Přečteno: 2625× | | poslední úprava: 23.11.2009 08:49

Z dlouhé chvíle jsem včera Googlem vyhledával magickou formulku Vytvořeno pomocí phpsysinfo a sledoval, jaké že systémy nám o sobě chtějí něco prozradit.

Vybíral jsem si pomalejší stroje, kterým zpracování stránky se statistikami phpsysinfo trvá nějaký čas (řádově sekundy). A hádejte, co se asi stane, když v prohlížeči zmáčknete rychle za sebou CTRL + R (Reload), řekněme jen 20x za sebou? Zkusil jsem si to i na lokální síti na svém pokusném serveru (PIII 600MHz), no na pár desítek minut byl můj stroj vyřazen z činnosti. Ani přes SSH se nedalo připojit. Load se dostal až na hodnotu 110. PHPSYSINFO je velmi nebezpečná zbraň proti pomalejším strojům a ideální nástroj na menší DoS - Denial of Service - odepření služby. Zabrouzdal jsem i mimo české luhy a háje a sledoval, jak se jeden francouzský (domácí) server odporoučel na dále než 1 hodinu Jiný zase (CPU AMD K6-2) přišel o svůj hezký uptime a restartoval se, možná tam byl nějaký watchdog. A to se, prosím pěkně, nemusíte ani moc snažit. Stačí jen pár reloadů stránky... Perlička byl nějaký polský (vědecký?) server, který běžěl na nějakém slabém PPC procesoru. Ten vyhnil tak, že správce ihned zasáhl, jakmile se k serveru dostal a adresář s phpsysinfo urychleně smazal...

Nebyl to z mé strany pokus o žádný DoS, jen jsem zkusil na pár strojích, jak mocnou zbraní tento nástroj je. Mé doporučení: PHPSYSINFO, pokud běží zejména na pomalém serveru, rozhodně nezpřístupňovat široké veřejnosti.

       

Komentáře

[Dalibor Smolík]

No dík za informaci PHPSYSINFO používám taky

[manasekp]

dik, taky to na serveru mam tak to asi vyhodim.

[Jezekus]

Přijde mi, že to funguje jen na starší verze phpsysinfa. Ted jsem to zkoušel na svém stroji a nepodařilo se mi to s novou verzí udělat, protože to parsuje XML a jsou tam hodně dlouhé intervaly, kdy při pokusu o obnovení nastane chyba parseru. Ale třeba něco dělam špatně. Se starší verzí sice load vylezl výš, ale server odpovídal normálně, asi to bude taky o nastavení Apache.

[Aleš Kapica]

Jo. Výstup z phpsysinfo vypadá hezky. Jenže základní otázka zní jinak. K čemu to je dobré?

Pokud jsem správce serveru, tak si tyto informace vytáhnu jiným způsobem a návštěvníkům je prd do toho na jakém železe web provozuji.

[R]

Presne tak - taketo veci na verejne dostupny server nepatria. A ked uz, tak chranit HTTP autentifikaciou.

[Luboš Doležel (Doli)]

Nač phpsysinfo. V dnešní době, kdy firmy dávají vývoje větších portálů amatérským PHP prasatům, stačí málo. Pro prase není problém, aby jediná stránka generovala stovky SQL dotazů. Pak se člověk diví, že zpracování trvá třeba 4,6 sekundy. To takového webu se stačí jen trochu opřít a je vymalováno.

[Limoto]

Ono i to samotný PHP trvá šíleně dlouho, a ani to nemusí být extra zprasený...

[Aleš Kapica]

Docela bych se ohradil proti spojení amatér a prasení. Prasit umí kde kdo, bez rozdílu na to zda vyvíjí soft jako amatér či v rámci velké firmy. Ba dá se říct, že leckterý amatér prasí mnohem méně, protože ho nikdo do prasení nenutí.

[Kvakor]

Ano, to je přesné. Profesionálove (tj. ti, co se tím živí) mají často mnohem více důvodů k prasení než amatéři, které nehoní žádný termín a kteří nemusí řešit vzájemně protichůdné požadavky zadavatelů, grafiků (nejhorší jsou tiskový grafici) a HTML kodérů. Amatéři prasí z neznalosti a neschopnosti, ale jen profesionál je se schopen spáchat opravdu gigantickou prasárnu, protože tam, kde by amatér už dávno odpadl, on pokračovat musí.

Já sám jsem pomáhal několka gigantickým prasárnám přežít tím, že jsem je částečně odprasil, aby mohly fungovat po změně hostingu, přitom většina odprasovacích metod byla sama o sobě prasárnou - například dodnes mám po ruce kousíček kódu, který obejde vypnuté register_globals pomocí volání fce. extract() na superglobální pole ($_GET, $_POST ...).

Je to "prasárna jako prase", nicméně funguje (resp. nesetkal jsem se s případem, kdy by nefungovala) a dá se i u nejsložitějších případů aplikovat v řádu minut, zatímco ruční procházení zdrojáků by zabralo hodiny a ještě by se muselo vše otestovat, protože někteří programátoři jsou schopní psát velmi kreativne (tj. tak, že by se v tom ani prase nevyznalo).

Ano, bylo by mnohem čistější projít ručně kód, analyzovat použité proměnné a vše podle potřeby opravit, ale to pokud zadavatel počítá, že oprava bude "přepsání pář řádků" a za víc nezpalatí, je použití prasárny jediné řešení.

Amatér si může dovolit zahodit celý kód a napsat to znova. Profesionál musí udržovat prasárny v chodu, dokud se vedení nerozhodne, že prásárna je už opravdu neudržovatelná, načež je zahozena a nahrazena něčím, z čehož se v důsledku Murphyho zákonu průběhem času určitě stane ještě větší prasárna než ta předtím ...

[Luk]

Amatéři prasí z neznalosti a neschopnosti, ale jen profesionál je se schopen spáchat opravdu gigantickou prasárnu, protože tam, kde by amatér už dávno odpadl, on pokračovat musí.

Jak už jsem nejednou říkal, již vícekrát jsem viděl neuvěřitelně prasácký kód psaný amatéry. Pro některé z těchto lahůdek bych neváhal použít termín "opravdu gigantická prasárna"

[dexík]

a takhle se z dos dela ddos bez pouziti botnetu

just joking

[Mandarinka]

"Nebyl to z mé strany pokus o žádný DoS" --- no fakticky to nebyla ni tak pokus jako ten DoS, když jste odporoučel 4 servery.

[xkucf03]

njn, každý, kdo má na klávesnici tlačítko F5 je (kyber)terorista a měli by ho zavřít :o)

[pc2005]

Pro jistotu jsem si ho odstranil . Škoda, že nemám kompatibilní další klavesnici, pak bych měl F4 F4 F6 .

[A]

Skus CTRL + R tu

[poky74]

wtf? co to? to je nějakej cluster?

[xkucf03]

Cluster? Osm procesorů by to ukazovalo i na mém domácím serveru (Quad+HT). 8 GB RAM je taky celkem normální. Zajímavější jsou ty disky připojené přes NFS. Co mají asi na druhém konci drátu, jestli nějaká pole nebo sadu serverů starajících se o úložiště?

[poky74]

Aha, asi jsem trochu zaspal dobu :)

[Jan Grmela]

explorer.exe??? (HINT: úplně dole v Process Status)

[houska]

hm ... prizabilo mi to browser :)

[pa3k]

Moju k6-2 sa mi podarilo tiez takto zhodit

[frEon]

che che, to mi pripomina, jak se jednou sef divil, proc nam tak casto v monitoringu sviti timeout jednoho webu. Kolega mu chtel duvod nazorne ukazat, tak zmackl v prohlizeci nekolikrat (asi 10x) ctrl+r, coz nemel delat. Apache najednou sezral vsech 8 jader a jako dezert si dal celou ramku (a musim dodat, ze ten stroj shodit opravdu nebyl zamer)