Re: Virenscanner
Am Sonntag, 10. November 2013, 12:43:58 schrieb Bjoern Meier:
> > Und noscript ist auch ein Schutz gegen viele Dinge. Beschäftige Dich
> > einfach einmal mit den Exploits der Vergangenheit, die auf Browser
> > abgezielt haben. Im Augenblick erinnere ich mich an keinen Exploit, der
> > ohne JavaScript funktioniert hätte...
>
> iFrames, PHP injection, SQL Injection, etc. Allein webbased exploits
> gibt es tausende abseits von js. Jedoch finde ich Web exploits
> langweilig. Zuletzt habe ich das genutzt bei phpBB 3.0.0 und das ist
> Jahre her.
> erstelle dir mal eine php-datei mit folgendem Inhalt:
>
> <?php echo system($_GET['cmd']); ?>
>
> eine Zeile und damit ist dein ganzes System verwundbar. Ein kleiner
> fehler - z. B. in einem komplexen Programm wie Typo3 und ich kann
> entweder per remote/local file inclusion oder sql injection so eine
> php-datei anlegen und sämtliche Programme mit rechten des
> Webserver-Users ausführen. Oft reicht das völlig aus.
>
> Beweis genug? Spätestens wenn ich Housekeeping (Dateien verändern,
> System zombifizieren, etc.) betreiben möchte, hätte ich mit einem
> Echtzeit-Scanner mehr Probleme. Doch das Problem habe ich unter Linux
> nicht, denn es nutzt sie ja keiner
Meine Güte.
Natürlich habe ich so ein PHP-Skript mitsamt Webserver auf meinem Desktop-
System laufen, da kann ich auch gleich SSH aufmachen und mein Root-Passwort
auf "admin" setzen.
Ganz klar.
Warum auch nicht…
Ich erinnere nochmal an meine Liste:
- Ein Benutzer, der nachdenkt.
- Keinen dubiosen, möglicherweise veralteten PHP-Schlonz (für Server)
Es ging Konrad um Exploits, die auf einen *Webbrowser* abzielen. Das ist eine
Untermenge aller Web-Exploits und es führt da nicht weiter, einfach mal alles
in einen Topf zu werfen.
Es ist keine Frage, dass das Risiko steigt, je mehr Angriffsfläche ich auf einem
*Server*, der 24/7 im Internet steht, biete.
Und dass es mit Web-Anwendungen auf PHP oder anderer Basis keinen 100%-igen
Schutz gibt, ist auch klar.
Aber auch hier sehe ich einen Virenscanner als letzte Maßnahme, es sei denn
ClamAV mosert dann eine Zeile wie oben auch an und warnt mit so vor selbst
installierten Sicherheitslücken.
Auch auf den Desktop gibt es keinen 100%-igen Schutz. Wie auch.
Ich bin jedoch weiterhin nicht davon überzeugt, dass mir auf einem Linux-
basierten Desktop-System ein Virenscanner einen nennenswerten zusätzlichen
Schutz bietet. Und werde daher auch weiterhin keinen installieren.
Und dass so lange, bis Evidenz für das Gegenteil sehe.
Einen Beweis, den Du aus meiner Sicht bislang nicht einmal ansatzweise
gebracht hast.
Und jetzt setze ich diesen Thread auf "ignorieren".
Ich bin schon einmal mit Dir so aneinandergeraten, mir gefällt Dein Tonfall
nicht, daher
EOD.
Ciao,
--
Martin 'Helios' Steigerwald - http://www.Lichtvoll.de
GPG: 03B0 0D6C 0040 0710 4AFA B82F 991B EAAC A599 84C7
Reply to: