Проверьте своего хостера на уязвимость Shellshock (часть 2)

    Недавно ХостТрекер представил функцию проверки уязвимости Shellshock с помощью куки, что было описано в соответствующей публикации. Следуя пожеланиям наших клиентов, а также комментариям к предыдущей статье, мы несколько расширили функционал проверки — теперь можно тестить Shellshock с помощью любого поля в http запросе, а не только куки.




    Для начала, кратко опишем историю создания этой проверки. Вскоре после огласки существования этой уязвимости, она обнаружилась на одном из наших серверов, при чем обнаружил ее хабраюзер hormold (как потом оказалось), и сообщил нам, за что ему отдельное спасибо. В процессе прояснения ситуации и устранения дыры и пришла идея создать максимально простой сервис для проверки на наличие уязвимости, так как описанные на тот момент методы были довольно сложны и, главное, требовали многих прав, которых у счастливых обладателей виртуального хостинга, как правило, нет. То, что получилось в результате, было простым и удобным, но мы получили несколько пожеланий по расширению возможностей, в том числе и от обитателей Хабра. Собственно, они реализованы и представлены далее.

    Что нового?


    Алгоритм довольно простой, детально описан здесь, но теперь есть возможность проверять не только куки, но и поля Referer, User-Agent и другие, на Ваш выбор. Это несколько расширяет возможности использования этой функции. Была также идея объединить все проверки путем их последовательного выполнения — но, в результате, нам пришлось от нее отказаться в связи с большим количеством запросов, которые пришлось бы посылать на подопытный сервер. Время выполнения «объединенной» проверки также существенно увеличилось бы.

    ХостТрекер 70,43
    Сервис мониторинга доступности сайтов
    Поделиться публикацией
    Комментарии 4
      +1
      Время выполнения «объединенной» проверки также существенно увеличилось бы.

      Но, ИМХО, она удобнее.
        +4
        Согласен с Вами. Но в этом случае нужно как-то менять алгоритм. Наша текущая проверка занимает более 10 секунд (запрос с задержкой в 2 секунды и два запроса по 4). Если проверять таким образом каждое поле, то тест займет уж слишком много времени.
        +1
        Планируете ли по итогам проверки предоставить некую обезличенную статистику (без разрытия уязвимых компаний), которая позволит сделать какие-нибудь интересные выводы? Например, частота проявления уязвимости в определённом ПО или связке ПО
          +3
          Честно говоря, не планировали. Но это интересная идея, поэтому все возможно.

        Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

        Самое читаемое