Про медок и холодок, part 2: Big government во всей красе

[gb0]

Украинский. Он достаточно big, чтобы навязывать бизнесам говоносистему для подачи отчетов в местный IRS (медок, me-doc.com.ua). Сайты медка работают по http, а с https у них маленький упс.

https://me-doc.com.ua/ – висит результат работы PHP-шной функции phpinfo() с информацией о системе.

И честно – самопальный серт – наименьшая из проблем. Fedora 12, php 5.3.6, mysql 5.1.7 и вот это вот все –  это power-ает по состоянию на середину 2017ого года (по крайней мере в части системы раздачи обновлений) систему, используемую 90+% бизнесов не самой маленькой страны для подачи отчетности в налоговую. Brother from another mother просто первой версии сайта обамаскера, который не то 7, не то 8 параллельных юзеров выдерживал. Немного диссонирует со всей прелестью относительно свежий nginx.

Сказ про медок и холодок, напомню, начался с того, что систему рассылки обновлений медка – хакнули, и подсунули пользователям вместе с обновой софты – троян-криптер, который распространился по учреждениям Украины, а из Украины – по планете. Пострадали некторые украинские банки, сети супермаркетов, несколько государственных органов, за пределами Украины – Роснефть, Маерск, Мерк, и еще сотни организаций по миру.

System	Linux medoc 2.6.32.26-175.fc12.x86_64 #1 SMP Wed Dec 1 21:39:34 UTC 2010 x86_64
Build Date	Jan 18 2016 18:08:04
Configure Command	'./configure' '--build=x86_64-unknown-linux-gnu' '--host=x86_64-unknown-linux-gnu' '--target=x86_64-redhat-linux-gnu' '--program-prefix=' '--prefix=/usr' '--exec-prefix=/usr' '--bindir=/usr/bin' '--sbindir=/usr/sbin' '--sysconfdir=/etc' '--datadir=/usr/share' '--includedir=/usr/include' '--libdir=/usr/lib64' '--libexecdir=/usr/libexec' '--localstatedir=/var' '--sharedstatedir=/var/lib' '--mandir=/usr/share/man' '--infodir=/usr/share/info' '--cache-file=../config.cache' '--with-libdir=lib64' '--with-config-file-path=/etc' '--with-config-file-scan-dir=/etc/php.d' '--disable-debug' '--with-pic' '--disable-rpath' '--without-pear' '--with-bz2' '--with-exec-dir=/usr/bin' '--with-freetype-dir=/usr' '--with-png-dir=/usr' '--with-xpm-dir=/usr' '--enable-gd-native-ttf' '--with-t1lib=/usr' '--without-gdbm' '--with-gettext' '--with-gmp' '--with-iconv' '--with-jpeg-dir=/usr' '--with-openssl' '--with-pcre-regex=/usr' '--with-zlib' '--with-layout=GNU' '--enable-exif' '--enable-ftp' '--enable-magic-quotes' '--enable-sockets' '--with-kerberos' '--enable-ucd-snmp-hack' '--enable-shmop' '--enable-calendar' '--without-sqlite' '--with-libxml-dir=/usr' '--enable-xml' '--with-system-tzdata' '--enable-fpm' '--without-mysql' '--without-gd' '--disable-dom' '--disable-dba' '--without-unixODBC' '--disable-pdo' '--disable-xmlreader' '--disable-xmlwriter' '--without-sqlite3' '--disable-phar' '--disable-fileinfo' '--disable-json' '--without-pspell' '--disable-wddx' '--without-curl' '--disable-posix' '--disable-sysvmsg' '--disable-sysvshm' '--disable-sysvsem'
Server API	FPM/FastCGI
Virtual Directory Support	disabled
Configuration File (php.ini) Path	/etc
Loaded Configuration File	/etc/php.ini
Scan this dir for additional .ini files	/etc/php.d
Additional .ini files parsed	/etc/php.d/apc.ini, /etc/php.d/curl.ini, /etc/php.d/fileinfo.ini, /etc/php.d/gd.ini, /etc/php.d/json.ini, /etc/php.d/mssql.ini, /etc/php.d/mysql.ini, /etc/php.d/mysqli.ini, /etc/php.d/odbc.ini, /etc/php.d/pdo.ini, /etc/php.d/pdo_dblib.ini, /etc/php.d/pdo_mysql.ini, /etc/php.d/pdo_odbc.ini, /etc/php.d/pdo_sqlite.ini, /etc/php.d/phar.ini, /etc/php.d/sqlite3.ini, /etc/php.d/zip.ini
PHP API	20090626
PHP Extension	20090626
Zend Extension	220090626
Zend Extension Build	API220090626,NTS
PHP Extension Build	API20090626,NTS
Debug Build	no
Thread Safety	disabled
Zend Memory Manager	enabled
Zend Multibyte Support	disabled
IPv6 Support	enabled
Registered PHP Streams	https, ftps, compress.zlib, compress.bzip2, php, file, glob, data, http, ftp, phar, zip
Registered Stream Socket Transports	tcp, udp, unix, udg, ssl, sslv3, sslv2, tls
Registered Stream Filters	zlib.*, bzip2.*, convert.iconv.*, string.rot13, string.toupper, string.tolower, string.strip_tags, convert.*, consumed, dechunk

This program makes use of the Zend Scripting Language Engine: Zend Engine v2.3.0, Copyright (c) 1998-2011 Zend Technologies

---

PHP Credits

---

Configuration

apc

APC Support	enabled
Version	3.1.4
MMAP Support	Enabled
MMAP File Mask	/tmp/apc.xQA7cG
Locking type	pthread mutex Locks
Revision	$Revision: 301663 $
Build Date	Sep 18 2010 08:58:21

Directive	Local Value	Master Value
apc.cache_by_default	On	On
apc.canonicalize	Off	Off
apc.coredump_unmap	Off	Off
apc.enable_cli	Off	Off
apc.enabled	On	On
apc.file_md5	Off	Off
apc.file_update_protection	2	2
apc.filters	no value	no value
apc.gc_ttl	1800	1800
apc.include_once_override	Off	Off
apc.lazy_classes	Off	Off
apc.lazy_functions	Off	Off
apc.max_file_size	1M	1M
apc.mmap_file_mask	/tmp/apc.xQA7cG	/tmp/apc.xQA7cG
apc.num_files_hint	1024	1024
apc.preload_path	no value	no value
apc.report_autofilter	Off	Off
apc.rfc1867	Off	Off
apc.rfc1867_freq	0	0
apc.rfc1867_name	APC_UPLOAD_PROGRESS	APC_UPLOAD_PROGRESS
apc.rfc1867_prefix	upload_	upload_
apc.rfc1867_ttl	3600	3600
apc.shm_segments	1	1
apc.shm_size	128M	128M
apc.slam_defense	On	On
apc.stat	On	On
apc.stat_ctime	Off	Off
apc.ttl	3600	3600
apc.use_request_time	On	On
apc.user_entries_hint	4096	4096
apc.user_ttl	3600	3600
apc.write_lock	On	On

bz2

BZip2 Support	Enabled
Stream Wrapper support	compress.bzip2://
Stream Filter support	bzip2.decompress, bzip2.compress
BZip2 Version	1.0.5, 10-Dec-2007

calendar

Calendar support

enabled

cgi-fcgi

php-fpm

active

Directive	Local Value	Master Value
cgi.discard_path	0	0
cgi.fix_pathinfo	0	0
cgi.force_redirect	1	1
cgi.nph	0	0
cgi.redirect_status_env	no value	no value
cgi.rfc2616_headers	0	0
fastcgi.error_header	no value	no value
fastcgi.logging	1	1
fpm.config	no value	no value

Core

PHP Version

5.3.6

Comments

[leo_sosnine]

мускул довольно старенький да, держу пари там полно RCE за это время было пропатчено, правда, тцп портом мускула в энторнет светить незачем, так что проникли едва ли через мускул

а вот за пыхыпы не слежу, хз абсолютно, он ваще ещё используется нет, последкий шкрипт на нём йа написал емнип в 2009

[gb0]

Дык там все такое....эм....2009-2011 (EOL на 12 федору), и пыхоподелка наверняка самописная и не без дыр, раз поломали. Per se – решение как решение, мне в этой истории важной представляется коррумпированный big government, который навязывает такого рода говно we the people.

[rampitec]

Сертификацию с аудитом по-ходу отменили ;)

[gb0]

могу поспорить, что с местными сертификатами, которые обычным смертным получать – так проще уехать в другую страну – все было хорошо. А внедрятели в местном IRSе чуть не медали получили за внедрение уникальной it-системы.

Big Stupid Government – оно такое.

[rampitec]

Не буду спорить, заведомо прогрышный спор ;)