這篇的起源來自作者的朋友發消息給他，說發現自己的網站有XSS漏洞，請他幫忙看看。
經過研究他發現攻擊者可以
1. 將資料庫裡面的資料一次導出，將資料公開
2. 刪除/修改資料庫裡的所有資料
3. 如果想要的話再回訪的話可以留個後門隨時回來
4. 安裝可病毒傳播的惡意程式到伺服器內部網路
5. 安裝勒索程式 (挾持多家公司的資料庫做人質不是件小事)
6. 利用這台伺服器挖礦
7. 利用這台伺服器做C2C服務
8. 利用這台伺服器做殭屍網路的一部分
9. .......(許多許多, 請自己想像)
10. rm-rf (不是開玩笑的)
他看到弱點出現在 :
1. 沒有上傳檔案權限的Web 應用很容易攻擊
2. MySQL資料庫的認證書(credentials)讓他可以一次駭入那台伺服器的35家公司的資料庫
3. 敏感檔案都是可讀的
緩解辦法:
1. 從Uploader開始解(這是他可以攻擊的立足點)，他的朋友的網站後端是用perl寫的, 對他來說他會比較建議不要用perl (不過他開放給讀者評論是否他錯了, 因為他不是perl程式人)
2. filesystem: 基於最少權限的原則給使用者適當的權限
3. 將所有的網站都在同一台伺服器執行是很不好的方法，他想(但不確定) dockeried approach也許可解決這問題
4. 給所有的資料庫同一個認證書(credentials)是很不好的作法，這會造成一點突破全部中標
5. 補丁所有一切。基本上就一個命令 su -c 'yum update' (CentOS用)
🍀 網路安全相關課程 https://goo.gl/3SqbTn
centos 7 8比較 在 [閒聊] 關於CentOS之死，請轉用Debian。 - 看板Linux - 批踢踢 ... 的美食出口停車場
<<轉傳>>
手機版
https://reurl.cc/Gr7413
電腦版
https://reurl.cc/k0mrxq
關於 CentOS Linux 之死，請轉用 Debian Linux，才是最佳選擇！
以下 CentOS project 及 CentOS Linux 皆簡稱 CentOS，
紅帽公司（RedHat）及 RedHat Linux 皆簡稱紅帽。
CentOS 原本是一個自由軟體社群，基於GPL軟體授權，
由紅帽公司供人公開下載的 FTP site 下載各種套件原始碼包之後，重新編譯，
再製成 CentOS Linux ISO 發行版，等於是紅帽企業版的免費克隆版。
按 GPL 自由軟體授權的條款，這原本沒什麼問題，
不過對一家正在壯大轉型為企業軟體公司的紅帽而言，卻是不能忍受的事情。
2013 年，紅帽控告 CentOS，說 CentOS 由 RedHat 的 FTP site 下載 rpms 原始包
再製成 rpm 發行是侵權行為。雙方進行談判。
2014 年，CentOS 被紅帽收購，加入紅帽體系，
後來成為紅帽企業版的 middle 產品線（CentOS Stream），
雖然，原本的 CentOS Linux 仍然並行，且宣稱維護期到 2029 年，
但此時即已埋下日後 CentOS 滅亡之機。
https://lists.centos.org/pipermail/centos-announce/2014-January/020100.html
什麼是 Middle 版？
其實就是 Linux 套件穩定度循環周期 unstable/testing/stable 中的 testing 版，
它會比測試版的 Fedora 舊一點，比企業穩定版的 RHEL 新一點。
一國豈能兩制？
2020 紅帽終於宣布，CentOS 8 只支援到明年底，
並且不會再有 CentOS 9，至於舊的 CentOS 7 則支援到 2024。
至此 CentOS Linux 可以說已被宣告死亡。
這證明一件事，自由軟體社群若受制於營利公司，想要以自由的精神發展，
無異是癡人說夢！
多年前，台南縣教育網路中心在推廣國內 Linux 時，
也曾使用過第一代的 Redhat Linux 做為全縣各校的 Server 系統，
後來 Redhat 越來越商業化，離自由軟體社群越來越遠，
因此，我便慢慢規劃轉換到其他系統。
CentOS 早期的表現確實不錯，但缺點是套件沒有穩定度周期，套件升級無法全自動化，
每隔一段時間，套件便會因相依性的關係而無法順利升級，而且套件來源不穩定。
台南縣教育網路中心推廣 CentOS 一陣子之後，
發現 CentOS 的致命傷便是它的來源受制於紅帽公司的套件，
試過一陣子之後，我們便不再採用 CentOS 了。
基於長遠規劃，當時我們把目標轉到 Debian Linux 。
可惜，當時的 Debian Linux 安裝困難，操作不易，
因此，便思考如何降低難度，把這個優秀的系統推廣給大家。
時值德國工程師開發的 KNOPPIX Linux 全球風行（免安裝，直接在光碟機上開機執行）。
因此，我就以 Debian 為底，KNOPPIX 的點子為體，融合二者，
再加上中文環境及簡便的安裝操作介面，自行編譯，開發出 B2D Linux Server，
安裝在台南縣的中小學，當時在國內也有眾多學校採用。
簡單化 Debian Linux 不是我一人之見，後來 Ubuntu Linux 出現了，我非常興奮，
終於有人和我持相同理念。
因此，我用中心一部舊的主機，架起了 Ubuntu Server，
用 XOOPS 內容管理系統，創立了台灣 Ubuntu Linux 社群，
也就是目前的 https://www.ubuntu-tw.org/，因為放在教育單位發展不易，
後來我就讓它移出，讓社群其他管理者接手。
為何不選用 Ubuntu Linux？
Ubuntu 後來成立了商業公司，創辦人太多商業手段，Ubuntu Linux 最終變調走味了，
自由軟體基金會創辦人 Richard Stallman 甚至大罵 Ubuntu 是 Spyware 間諜軟體：
https://www.gnu.org/philosophy/ubuntu-spyware.html
Debian Linux 成熟簡單
在 Ubuntu Linux 的風潮下，Debian 也開始走簡單化路線，
安裝難度大大降低，介面也較為友善。這是轉到 Debian Linux 的最佳時機。
因此，我再次以 Debian 為底，把過去開發 B2D Linux 的經驗改到 Debian Linux 來，
於是新的 OB2D Linux 誕生了，Server 版和桌面版都有。
https://b2d-linux.com/
雖然這一年多來，
我專注於學習羽球拍穿線技術( https://m.facebook.com/X3BL888RAD/ )
但 Linux OS 的開發志向從未息滅，日後必會再起。
如果您有心改用 Linux ，推薦您最佳選擇：Debian Linux，
不但有套件穩定度循環周期 unstable/testing/stable 的機制，還能自動升級，
社群發展民主自由，不受商業公司的挾制，真正可長可久。
https://www.debian.org
撰文 by OLS3
2020/12/26
在重錘穿線機旁
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.71.215.6 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/Linux/M.1609067112.A.678.html
... <看更多>