News Malware beim ISC: Angriff auf eine der Säulen des Internets

[fethomm]

Die Webseite des Internet Systems Consortium wurde von den Betreibern aufgrund einer Infektion mit der Malware Angler Exploit Kit vom Netz genommen. Die Webseite bietet die vom ISC erstellte DNS-Software BIND an, die eine der Säulen des Internet bildet.

Zur News: Malware beim ISC: Angriff auf eine der Säulen des Internets

 

[Cool Master]

Wie kann so eine Organisation Wordpress nutzen? Für den 0815 User mag das ja ok sein aber für ein Unternehmen (egal welche Rechtsform) sollte schon etwas anstediges her. Sei es Drupal, Django oder ein anderes, richtiges, CMS.

@danny38448

Wenn jeder Urlaub hat ist Urlaub angesagt. Zumal das nicht in 5 Min erledigt ist da muss das gesamte System angeschaut werden und evtl. sogar ein Backup eingespielt werden.

 

[danny38448]

ich dachte die Admins können bei Fehlern Software Remote neu aufsetzen...... ..oder muss man da wirklich vor Ort sein...

 

[Lavaground]

Drupal wurde auch erst kürzlich kompromittiet, ging sogar mit nem anderen wordpress exploit einher... die cores an sich sind relativ stabil was exploits betrifft, plugins und module sind da meistens die angriffszone.

 

[Crumar]

Säule r n

 

[Blutschlumpf]

Alle paar Wochen gibts irgendwelche Exploits für alle möglichen CMS und ständig fliegen die Leute damit reihum auf die Fresse.
Ich frag mich ob denn keiner aus solchen Dingen lernt.

Man kann jetzt natürlich ne Diskussion führen ob CMS xy sicherer/besser/toller ist, aber im Grunde sollte man imho einfach die Finger von CMS jeder Art für halbwegs seriöse und professionelle Projekte lassen.
Lieber ne Seite die 20kb selfmade html benutzt, was schlechter ausschaut aber sicher ist als ne hübsche Seite, die auf Tonnen von potentiell fehlenanfälligem Code basiert, den man zu 90% für die Seite vermutlich gar nicht braucht.

 

[Cool Master]

@Blutschlumpf

Wie Lavaground schon sagt liegt es nicht direkt an CMS X sondern eher die Plugins. Sicherlich es gibt Core Exploits aber diese sind eher selten. Viel wichtiger ist es welche Version denn gehackt wurde. Wenn da nun Wordpress 2.0 drauf war wundert mich gar nichts mehr und genau das ist das Problem an den ganzen CMS die Admins machen einfach keine Updates. Ja, man muss nicht direkt bei Release das Update drauf hauen aber man sollte schon in naher Zukunft die Updates einspielen.

Dazu kommt warum sollte Selfmade HTML schlechter aussehen? Ich kann Selfmade HTML doch genau so stylen wie ein CMS eher sogar besser da ich zur not einfach noch eine Klasse hinzufüge.

 

[Blutschlumpf]

Egal ob Plugin oder nicht, alleine die Tatsache, dass du da Unmengen von (oft unbenutztem) Code hast, macht die Sache riskanter, dass da potentiell Bugs drin sind.
Die Verbreitung und die damit einhergehende Attraktivität für Angreifer tun ihr übrigstes.

Ich kann jetzt nicht für Wordpress sprechen, da ich es nicht benutze, aber ich denke die mangelnde Updatebereitschaft liegt imho größtenteils an den Programierern der Systeme.
Ich hatte z.B. über Jahre ein phpbb am Start.
Es reichte wenn du 2-3 Plugins benutztest, dann war das System teilweise nicht bzw. nur noch mit viel Aufwand updatebar, beim Update v2 auf v3 gings komplett in die Hose.
Problematisch ist imho die Trennung in Basisprogramm und tausende Plugins und die Haltung "das muss nicht ins Basisprogramm, das kann man per Plugin machen".
Kommt ein Update, muss man teilweise warten bis die Plugins angepasst sind.
Man hat dann die Wahl zwischen ner unsicheren Seite und nicht funktionierenden Teilen der Seite.

Dazu kommt warum sollte Selfmade HTML schlechter aussehen?

Die meisten benutzten ein CMS um ohne viel Ahnung und mit wenig Zeitaufwand eine halbwegs ansehnliche Seite hervorzubringen.
Um das dann ohne CMS zu machen braucht man entweder mehr Zeit und Skill oder die Seite sieht nachher schlechter aus.
Da ist nicht davon ausgehe, dass die Leute deutlich mehr Zeit investieren, gehe ich von letzterem als "Normalfall" aus.

 

[Cool Master]

Egal ob Plugin oder nicht, alleine die Tatsache, dass du da Unmengen von (oft unbenutztem) Code hast, macht die Sache riskanter, dass da potentiell Bugs drin sind.

Deshalb deaktivert man nach der Entwicklung/Live schaltung alles was man nicht benötigt... Wenn einem das nicht klar ist sollte man noch mal zur IT Sicherheit 1&1.

Ich kann jetzt nicht für Wordpress sprechen, da ich es nicht benutze, aber ich denke die mangelnde Updatebereitschaft liegt imho größtenteils an den Programierern der Systeme.

Achwas das liegt an den Usern. Hier z.B. mal Drupal 7:

https://www.drupal.org/node/3060/release?api_version[]=103 (das "[]=103" muss mit dazu, will das Forum aber nicht in der URL haben...)

Da kommt also fast jeden Monat ein Update raus...

Wordpress ist da etwas langsamer, aber immer noch recht flott:

https://de.wordpress.org/releases/#older

Ich hatte z.B. über Jahre ein phpbb am Start.

Da liegt schon der Fehler... PHPbb ist die Sicherheitslücke der Sicherheitslücken, zumindest war es das noch anfang bis mitte 2000 und ist einfach nur schlecht programmiert. Praktisch alle großen Seiten sind auf z.B. VBulletin umgestiegen - kostet zwar etwas aber es lohnt sich da man Qualität bekommt.

Es reichte wenn du 2-3 Plugins benutztest, dann war das System teilweise nicht bzw. nur noch mit viel Aufwand updatebar, beim Update v2 auf v3 gings komplett in die Hose.

So war es halt früher heute muss man das nicht mehr machen da dank Objekt Orientierter Programmierung vieles besser wurde. Moderne CMS und Plugins laufen ohne Probleme auf der gleichen Major Version. Update ich also z.B. bei Drupal den Core gehen alle Plugins weiterhin weil diese auf Version 7 basieren und da ändert sich nichts dran.

Dazu kommt dank Tools wie "Drush" (Drupal Shell) kann man direkt über den root Zugang auf dem Server alles updaten. Alternativ direkt im CMS.

Problematisch ist imho die Trennung in Basisprogramm und tausende Plugins und die Haltung "das muss nicht ins Basisprogramm, das kann man per Plugin machen".

Nö, es ist völlig korrekt, dass man nicht alles in den Core packt. Dadurch haben die Core Entwickler nur mehr Probleme und mehr mögliche Sicherheitslücken. Ein Twitter Feed, als Bsp. hat nichts im Core zu suchen! Der Core ist dafür da Seiten und Menüs zu erstellen sowie Text und andere Medien einzubinden mehr muss ein Core nicht machen für alles andere hat es eben Plugins welche dank OOP eben auf den Core zugreifen können dank vererbungen.

Kommt ein Update, muss man teilweise warten bis die Plugins angepasst sind.
Man hat dann die Wahl zwischen ner unsicheren Seite und nicht funktionierenden Teilen der Seite.

Wie gesagt, wenn das so ist haben die Programmierer keine Ahnung. Heute ist es Standard innerhalb einer Version alles am laufen zu haben. Das gilt für Ilias, Moodle, Drupal und sicherlich noch viele weitere Produkte.

Die meisten benutzten ein CMS um ohne viel Ahnung und mit wenig Zeitaufwand eine halbwegs ansehnliche Seite hervorzubringen.
Um das dann ohne CMS zu machen braucht man entweder mehr Zeit und Skill oder die Seite sieht nachher schlechter aus.
Da ist nicht davon ausgehe, dass die Leute deutlich mehr Zeit investieren, gehe ich von letzterem als "Normalfall" aus.

Achwas... Es gibt ja nicht nur CMS Templates. Einfach mal nach HTML5 Templates googlen und man findet genug welche man direkt so benutzen kann zum Teil kostenlos und zum Teil kostenpflichtig.