Masovy utok?

Masovy utok?

autor Jakub Šerých -
Počet odpovědí: 12
Dobry den,
behem nekolika poslednich dni se mi na Moodle 1.8.2+ zaregistrovaly stovky falesnych useru typu v*ag*a C*nadian ph*rmacy atd., vsechny se zemi Ruska Federace a mestem Moscow.

Mam k tomu nekolik dotazu:
  1. Mate posledni dobou podobnou zkusenost, cili je to globalni problem nebo si nekdo vyhlidl konkretne muj server?
  2. Existuji uz nejake ty nastroje jako obrazek s textem, ketry je treba pri registraci opsat nebo neco takoveho? Nebo maji vyssi verze nejake pokrocilejsi nastroje v tomto smeru (stacilo by mi napriklad nastavit, ze registrovat se mohou jen ti, co si jako zemi uvedou CR, ale to v teto verzi neumim).
  3. Da se nejak zobrazit tabulka s ucty, kde by s nimi slo pracovat hromadne (neco jako "Se vsemi zaskrtnutymi provest operaci: Odstranit"? Odstranuji je zatim individualne ze seznamu useru, coz slo, kdyz jich byly jednotky za mesic, ale pri stovkach za tyden se to fakt dela blbe.
  4. Pokud na bod 3 je negativni odpoved, mohu surove vlezt do prislusne tabulky v mySQL a smazat je natvrdo tam nebo tim narusim nejake dalsi vazby?
Diky za pomoc

Jakub Serych
Počet hodnocení: -
V odpovědi na Jakub Šerých

Tento příspěvek ve fóru byl odstraněn

Obsah tohoto příspěvku ve fóru byl odstraněn a již nemůže být zpřístupněn.
V odpovědi na Odstraněný uživatel

Tento příspěvek ve fóru byl odstraněn

Obsah tohoto příspěvku ve fóru byl odstraněn a již nemůže být zpřístupněn.
V odpovědi na Jakub Šerých

Re: Masovy utok?

autor Peter Svec -
Odpovede na vase otazky:
1. v podstate je to globalny problem
2. moodle umoznuje pridat do procesu registracie reCAPTCHA obrazky. Tato problematika sa tu uz preberala napr. v tycho diskusiach
https://moodle.org/mod/forum/discuss.php?d=249758
https://moodle.org/mod/forum/discuss.php?d=249749
3. Na masove operacie mozete pouzit blok User Administration Block, ktory si mozete stiahnut na http://moodle.org/mod/data/view.php?d=13&rid=1135
4. pokial sa pouzivatelia nejavili v systeme ziadnu aktivitu, tak ich mozete z tabulky mdl_users kludne odstranit, popripade im nastavte v stlpci hodnotu deleted na 1

peter
Počet hodnocení: -
V odpovědi na Jakub Šerých

Re: Masovy utok?

autor Daniel Mikšík -
Používali jsme donedávna na dvou serverech verzi 1.8.4+, na jednom z nich máme povolenou e-mailovou registraci s ochranou pomocí CAPTCHA, která je popsána ve dvou předchozích příspěvcích, a žádný falešný účet si nikdo nezaložil. Tj. toto řešení doporučuji a Davidovi za něj znovu děkuji.

Zato se někdo v tomto týdnu pokusil proniknout do zdrojových souborů obou instalací Moodlu na našem serveru a pozměnit je. Do jisté míry se mu to i podařilo, doporučuju proto zkontrolovat, zda se Vám nestalo něco podobného, a následně co nejrychlejší upgrade na poslední stabilní verzi (nyní 1.8.7+).
V našem příapdě se útočníkovi podařilo do souborů Moodlu vložit na různá místa soubory s názvem license.php, no.php a options.php. Soubory license.php a no.php jsou zakódované. Když jsem si je na lokálním stroji spustil, docela mě mrazilo, protože šlo v podastatě o webový souborový manažer, jehož prostřednictvím mohl útočník (při nevhodně nastavených právech) procházet adresáře a online editovat v nich obsažené soubory.
Několik dalších skriptů útočník modifikoval, jmenovitě admin/auth.php, calendar/set.php, login/change_password.php a theme/standard/footer.html. Přesný výpis změn najdete v přiloženém textovém souboru.
Kromě toho jsme před časem také zaznamenali změnu skriptu lib/moodlelib.php popsanou v tomto fóru: http://moodle.org/mod/forum/discuss.php?d=106296 (viz zejména dva poslední příspěvky), ale nevyvodili jsme z ní adekvátní důsledky.monokl

Naštěst nešlo zřejmě o zvlášť zlomyslný a ničivý útok, aspoň jsme zatím žádné větší škody nepozorovali. Chtěl jsem celou věc důkladně zdokumentovat a co nejdřív někde popsat, nyní otevřená diskuse mě donutila udělat to hned.

Opatření, která jsme provedli na serveru, byla následující:
  • kontrola změn v suborech proti serveru CVS (viz přiložený soubor);
  • ruční náprava modifikací;
  • změna oprávnění na všech adresářích a souborech s programovým kódem Moodlu tak, aby neobsahovala právo pro zápis procesu webového serveru;
  • změna hesla k databázi;
  • update z CVS na poslední MOODLE_18_STABLE.
Další informace rád poskytnu buď tady nebo soukromě e-mailem.
Počet hodnocení: -
V odpovědi na Daniel Mikšík

Re: Masovy utok?

autor David Mudrák -
Obrázek: Moodle HQ Obrázek: Obzvláště nápomocní moodlisté Obrázek: Překladatelé Obrázek: Vývojáři
> Další informace rád poskytnu buď tady nebo soukromě e-mailem.

Prosím i za ostatní, abyste (pokud to důvěrnost sdělovaných informací dovolí) tyto závažné otázky diskutovali zde a my ostatní se z vašich cenných analýz mohli poučit. Díky, Dane, za přínosný příspěvek.

--mudrd8mz
Počet hodnocení: -
V odpovědi na Jakub Šerých

Re: Masovy utok?

autor Milan Sýkora -
Zdravím,

mám také podobnou zkušenost s vytvářením falešných účtů. Prosil jsem o pomoc přímo Davida, aby mi pomohl. Poradil mi, že zatím je jedinou možnou ochranou metoda CAPTHCA.
Můj moodle je ve verzi 1.6 a obávám se upgradu na verzi 1.9, protože zřejmě musím projít modifikací 1.7 ; 1.8 ; 1.9.
to je víc než si chci nabrat.

Proto se ptám, jde metoda CAPTCHA vložit do moodlu 1.6?
Počet hodnocení: -
V odpovědi na Milan Sýkora

Re: Masovy utok?

autor Jakub Šerých -
Všem děkuji za informace k tomuto tématu. Na jejich základě jsem sebral kýbl "morálu" zubit se a jal jsem se upgradovat na verzi 1.9
Vše proběhlo až nečekaně hladce, takže těm, kteří váhají tak, jako jsem stále váhal já, vřele doporučuji zazálohovat a hrrr do toho.
Captcha funguje perfektně a dokonce funguje i omezení mailových domén, což mi v předchozí verzi 1.8.2+ nefungovalo.
Jediné, čeho jsem se při pokusech s novou verzí lekl je možnost odkrytí hesla.
Pokud se přihlásím jako admin, a pak jdu na registrační stránku /login/signup.php, objeví se tam předvyplněná políčka s admin a hvězdičkami v hesle a u toho je zašrtávátko Odkrýt heslo, které skutečně funguje (FireFox na domácím počítači, kde mám heslo zapamatované).
To Moodle posílá browzeru (z kvuli filtru úsměv) hesla takhle v otevřené podobě nebo se to tam ocitlo z paměti hesel FireFoxu? Každopádně to políčko "Odkrýt heslo" se mi tam líbí pramálo. Stačí si odskočit z učebny s přihlášeným kompem a .... překvapení
Nedá se to někde v nastavení Moodlu vypnout?

Jakub Šerých

Počet hodnocení: -
V odpovědi na Jakub Šerých

Re: Masovy utok?

autor David Mudrák -
Obrázek: Moodle HQ Obrázek: Obzvláště nápomocní moodlisté Obrázek: Překladatelé Obrázek: Vývojáři
> To Moodle posílá browzeru hesla takhle v otevřené podobě?
A jak jinak myslíte, že se posílají všechna hesla ve webových formulářích? To není záležitost Moodle, ale téměř jakékoliv webově aplikace (seznam, gmail, spolužáci, ...) - všechny posílají vložené údaje jako čistý text. A kdokoliv zachytí příslušný paket, může si to vaše heslo přečíst. Na lokální síti je to obzvláště triviální a průměrně zdatný žák druhého stupně základní školy by při dostatku motivace dokázal na internetu najít způsob, jak si nějaký HTTP sniffer zprovoznit (aniž by musel nutně rozumět tomu, jak to funguje).
Zobrazování hvězdiček namísto hesla je pouze ochrana před těmi, kdo vám stojí za zády nebo sledují vaše přihlašování na projektoru. Jediná rozumná ochrana je použití protokolu HTTPS, který veškerá přenášená data mezi prohlížečem a serverem šifruje.
Je mi líto, pokud jste přišel o iluzi hvězdičkového bezpečí škodolibost
Počet hodnocení: -
V odpovědi na David Mudrák

Re: Masovy utok?

autor Jakub Šerých -
Ne o iluzi hvězdičkového bezpečí jsem rozhodně nepřišel (dokonce jsem si napsal osnovy svého předmětu, podle kterých žáky učím snifovat úsměv, takže celkem vím, jak data sítí chodí), ale překvapilo mě, odkud se v browzeru heslo vzalo "zpátky" a ještě s tím odhvězdičkovávacím zaškrtávátkem.

Opravdu to funguje tak, že se přihlásím (jasně heslo jde paketem v open tvaru), ale pak třeba půl hodiny něco dělám, a když pak vlezu na stránku registrace je tam mé heslo jak na dlani. Takhle je jen otázkou času (i bez instalace snifferu), kdy se nějaká hesla prosáknou tam, kam nemají.

Jakub Šerých
Počet hodnocení: -
V odpovědi na Jakub Šerých

Re: Masovy utok?

autor David Mudrák -
Obrázek: Moodle HQ Obrázek: Obzvláště nápomocní moodlisté Obrázek: Překladatelé Obrázek: Vývojáři
V tom případě jste dovolil vašemu prohlížeči, aby si heslo v daném formuláři zapamatoval při jeho poslední změně a zároveň máte zapnutu funkci předvyplňování formuářových polí (hesel). Moodle to být nemohl, protože hesla uživatelů si v plain textu vůbec neukládá - v databázi je salted hash.
Omlouvám se, nechtěl jsem se nikterak dotknout vašich odborných znalostí z oblasti IT a zabezpečení dat - přehlédl jsem se a pochopil jsem váš údiv zcela špatně červenat se
Počet hodnocení: -
V odpovědi na Jakub Šerých

Re: Masovy utok?

autor Lukáš Mižoch -

Z mé zkušenosti to funguje jen tehdy, pokud heslo zadáváte jako nové při vytváření účtu, jinak ne. Moodle zpět do prohlížeče heslo pochopitelně neposílá. Jediné další místo, kde se to objevuje, je kurz či nějaká aktivita (třeba test), kde je možné heslo pro test zjistit.

Počet hodnocení: -