mysql Worm ?

Снощи (26.1.2005) взе че се пръкна едно вирусче в моя компютър. По интернет нищо не намерих за него. Файла се казва
spoolcll.exe намира се в %windows%/system32

Днес вече има малко информация по въпроса от google

[линк]

При мен версията е mysql 4.0.10g разбира се под windows.

Та някой друг има ли таъкв проблем.

Това е нещо ново и дори на форума където го обсъждат не са наясно за какво става въпрос.

Много те моля кажи при теб кой и с какви права може да се закача към MySQL-а ти?

Имаш ли анонимен потребител без парола примерно, но пък с FILE_Priv

В такъв случай може да се окаже атака през:
SELECT ... INTO OUTFILE ..;

salle.online.bg/sig

Мдааааа обичаен подход, само че автоматизиран ;-)

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

Като взех да гледам в база данни mysql и що да видя. Там се мъдри една таблица func със следните полета и един запис.

name ret dl type
app_result 2 mysql\app_result.dll function

А също така и един dll. app_result.dll

търкай таблицата
търкай файла
спри си mysql-a да не излиза навън

и следващия път не си слагай DICTIONARY парола на рута

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

Сега като погледнах в таблица user се оказа че при мен mysql е разграден двор

Та има един запис

Host: %
user: root
password: <празно>

и нататък всички възможни права.

P.S. Не се смейте много щото това съм го слагал 2001 година и кой зане по какви причини съм пуснал всички да идват на моето mysql

Аз още като дойде вируса го спрях да не излиза навън та сега няма проблем вече.

Все пак мерси за съвета.

Това преди време някой го беше описал на теория как може да стане а а ето, че някой се постарал да го реализира.

Накратко въпросното животно търси MySQL който позволява на root потребител да се връзва отдалечено и прилага типичния ГСН метод да се пробва с десетки често срещани пароли. (ГСН = Груба Сила и Неграмотност)

Когато успее да се закачи като потребител с достатъчно права качва въпросния DLL със SELECT ... INTO OUTFILE
След това дефинира UDF функция която сочи към въпросния DLL и така получава възможност да стартира въпросния DLL

Ако някой се интересува от теоретичната разработка ето малко повече информация:


[линк]

salle.online.bg/sig

Днес вече AVG 7.0 Free Edition го хваща това като вирус. Trojan hourse BackDoor WootBot.4.S

Проблемът се дължи на не особено добра администрация, но все пак доколкото MySQL AB разработва, разпространява и поддържа MySQL не можем да си позволим да подминем проблема мълчаливо.

Благодарение на твоя постинг успяхме да реагираме своевременно.

salle.online.bg/sig

след като дойде това животно и видях колко зле ми е настроена системата.
Е благодарение на това си я оправих, иначе така щеше да си седи още много години.

Но възникна един въпрос: Защо след инсталация на mysql, има дефиниран root user без парола. Вярно че е разрешен само за localhost но това пак е проблем ако се ползва примерно phpmyadmin. Ако не се сложи парола на root и може да се влезе с phpmyadmin направо с
user: root
pasword: <празно>

Поради тази причина ми се струва че е по-удачно root да има парола още при инсталацията та да се предотвратяват дупки в сигурността при стандартна инсталация

мда, инсталация със задължителна парола, въведена от инсталиращия, не би било зле. и ако може да не може да е празна парола, а?

документацията мисля че споменаваше че ползващия има грижата да си оправи сигурността, ама кой ти чете документация...

"Но възникна един въпрос: Защо след инсталация на mysql, има дефиниран root user без парола."

В последните версии вече не.

Иначе отговорът е назад в историята. Преди 7-8 години масовият Windows потребител не знаеше, не се интересуваше и нехаеше за неща като сигурност, отворени портове, пароли да не говорим, че понятия като Windows firewall звучаха еретично и будеха насмешка дори у познавачите.
Та тогава имаше много недоволни потребители от това, че като стартират MySQL и трябва видиш ли да се занимават и с някакви там root-ове и пароли. Затова дълго време само за Windows имаше root@% без парола.

В днешно време сигурността е основен проблем за всички и изискването да се погрижиш за паролите преди да подкараш нещо не звучи толкова глупаво. Новия инсталатор за Windows се грижи и за това.

Колкото до root@localhost без парола - той не е проблем за червеи като въпросния. Освен това при положение, че при инсталиране има предупреждение не би трябвало да се оставя без парола.

PLEASE REMEMBER TO SET A PASSWORD FOR THE MySQL root USER !
To do so, start the server, then issue the following commands:
/usr/local/mysql-4.0/bin/mysqladmin -u root password 'new-password'
/usr/local/mysql-4.0/bin/mysqladmin -u root -h vafla password 'new-password'
See the manual for more instructions.

salle.online.bg/sig

[линк]
[линк]

salle.online.bg/sig

Двете връзки са супер. Дано повече хора ги прочетат и послушат съветите.