פרצות אבטחה בגירסאות ישנות של utorrent (כולל גירסאות ממש ישנות)

[eran405]

ראשית כמה קישורים:
https://arstechnica.com/information-tec ... downloads/
https://engineering.bittorrent.com/2018 ... rrent-web/

למי שמתעצל לקרוא באנגלית זה בגדול אומר שאפשר לנצל את פרצת האבטחה בגירסאות ישנות של utorrent להתקין תוכנה של התוקף שתרוץ בעליה של windows (כאשר מבקרים בדף אינטרנט של התוקף) ודברים פחות חמורים כמו סתם לחטט לך במחשב ולשלוט על ה-utorrent שלך.

הפירצות תוקנו בגירסא 3.5.3 ולכן אם אתה משתמשים בגירסא זו (או יותר חדשה) לא נדרש לעשות כלום. שאר הפוסט מדבר רק על הגירסאות הישנות שיש בהם את הפרצות.

למיטב הבנתי כל הגירסאות 3.x (לפני 3.5.3 כמובן) ולפחות במידה מסוימת גם כל גירסאות 2.x חשופות להתקפה. אני לא יודע אם גירסאות 1.8 לא מוזכרות כי לא בדקו אותם או אם הם באמת לא חשופות להתקפה אבל אם אני זוכר נכון בגירסאות של 1.8 יש בכלל פרצה אחרת (כנראה פחות חמורה).

דבר ראשון, מומלץ במיידי לעדכן בהגדרות של ה-utorrent:
א. לכבות את ה-WebUI
ב. לחפש ב-advanced את הערך net.discoverable ולכבות אותו (לשנות אותו ל-false).
למיטב הבנתי זה מונע את כל ההתקפות החמורות (אולי עדיין אפשר לגרום ל-utorrent לקרוס מרחוק או משהו פחות חמור כזה).

ראיתי כבר אתרי טורנט פרטיים שאומרים שיעשו בקרוב blacklist לכל הגירסאות 3.x של utorrent (חוץ מ-3.5.3 שמכיל תיקון) ו/או מבקשים יפה לעדכן את ההגדרות שציינתי לעיל.

אישית, אחרי שנים שלא עדכנתי את ה-utorrent, עדכנתי לגירסא ל-3.5.3 (בילד 44358) שמכילה את התיקון לפרצות הנ"ל - להפתעתי הרבה אפילו אין פרסמות ב-utorrent . מה שכן צריך מאד להיזהר בהתקנה, ראיתי לפחות 2 ניסיונות לדחוף לי דברים (הראשון ישר אחרי שעושים accept ל-EULA צריך לעשות decline לאיזה companion שקר כלשהו והשני מוצג בצורה יותר ברורה - בתקווה לא פיספסתי שום דבר נוסף).

[MrYair]

למה לשתמש בתוכנה Zבל אם יש תחליפים הרבה יותר טובים?
כמו deluge כמו qbittorrent ?

מי משתמש עדין בתוכנה הזאת שכל שני וחמישי גרסאות יוצאות
אם ווירוסים וכרייה של ביטקוין

[eran405]

@MrYair
·

utorrent זאת תוכנה בתשלום שאם אתה רוצה להשתמש בה בחינם אז אתה צריך לסבול:
א. בהתקנה שלה "מוסתרות" כל מיני תוכנות צד ג' שמנסים לדחוף לך ואפשר לבחור בהתקנה לא להתקין אותם. הם משתמשים בשירותים של חברה שמתמחה בצד האפל הזה של התקנות ובגירסה אחת מסוימת החברה האחרת הזו דחפה להם אופציה להתקין כורה ביטקוין. ברגע שזה נודע להם הורידו את הכורה ביטקיון. כאמור זה היה משהו אופציונלי ואם קצת הקפדה על מה אתה בוחר בהתקנה לא היית מתקין את זה.
ב. אני חושב שיש בברירת מחדל פרסומות. לא בטוח בדיוק איך אבל אצלי אין שום פרסומות כבר שנים כולל בגירסא הכי חדשה (אני חושב שפשוט חיפשתי מתישהוא בגוגל ואומרים לך שם איזה ערך ב-advanced לכבות ואז אין יותר פרסומות).

למיטב ידעתי אין ולא הייתה שום גירסא של utorrent עם וירוסים.

מהמעט שאני עוקב ופעם בכמה שנים בודק קליינטים אחרים, utorrent הקליינט הכי טוב בשבילי, מבחינת ביצועים ויציבות. הקליינט היחיד שאולי מתקרב אליו הוא qbittorrent אבל יש איתו מלא בעיות. לדוגמא רק לאחרונה הייתה בעיה שב-qbittorrent הטראקר לא מתעדכן כמו שצריך (אם אני זוכר נכון יש את הבעיה בגירסא 4.0.3, אולי פתרו את זה מאז, אני מודה שאני לא באמת עוקב אחרי הגירסאות שלו).

אפילו אם אין בעיות "אמיתיות" עם קליינטים אחרים במעשי ממה שאני רואה בטראקרים הפרטיים שאני מנויי אליהם גירסאות חדשות של utorrent מאושרות הכי מהר ובקליינטים אחרים כגון qbittorrent יש הרבה בלאגן (כולל אישור של גירסאות ואחרי זה blacklist לאותה הגירסא שקודם אישרו).

יש יתרונות וחסרונות לתוכנה שמעדכנת כל הזמן. לפחות לבינתיים אני מעדיף לדבוק בגירסה מסוימת של utorrent ולא לעדכן בכלל (או לעדכן פעם בכמה שנים אם ממש חייבים כמו עכשיו).

לבסוף שאלה לגבי qbittorrent: האם מישהו יכול לאשר או להכחיש את הדיווחים שיש באינטרנט ש-qbittorrent לא מתמודד יפה עם מאות של טורנטים (נגיד 500 טורנטים)?

[MrYair]

@MrYair
·

utorrent זאת תוכנה בתשלום שאם אתה רוצה להשתמש בה בחינם אז אתה צריך לסבול:
א. בהתקנה שלה "מוסתרות" כל מיני תוכנות צד ג' שמנסים לדחוף לך ואפשר לבחור בהתקנה לא להתקין אותם. הם משתמשים בשירותים של חברה שמתמחה בצד האפל הזה של התקנות ובגירסה אחת מסוימת החברה האחרת הזו דחפה להם אופציה להתקין כורה ביטקוין. ברגע שזה נודע להם הורידו את הכורה ביטקיון. כאמור זה היה משהו אופציונלי ואם קצת הקפדה על מה אתה בוחר בהתקנה לא היית מתקין את זה.
ב. אני חושב שיש בברירת מחדל פרסומות. לא בטוח בדיוק איך אבל אצלי אין שום פרסומות כבר שנים כולל בגירסא הכי חדשה (אני חושב שפשוט חיפשתי מתישהוא בגוגל ואומרים לך שם איזה ערך ב-advanced לכבות ואז אין יותר פרסומות).

למיטב ידעתי אין ולא הייתה שום גירסא של utorrent עם וירוסים.

מהמעט שאני עוקב ופעם בכמה שנים בודק קליינטים אחרים, utorrent הקליינט הכי טוב בשבילי, מבחינת ביצועים ויציבות. הקליינט היחיד שאולי מתקרב אליו הוא qbittorrent אבל יש איתו מלא בעיות. לדוגמא רק לאחרונה הייתה בעיה שב-qbittorrent הטראקר לא מתעדכן כמו שצריך (אם אני זוכר נכון יש את הבעיה בגירסא 4.0.3, אולי פתרו את זה מאז, אני מודה שאני לא באמת עוקב אחרי הגירסאות שלו).

אפילו אם אין בעיות "אמיתיות" עם קליינטים אחרים במעשי ממה שאני רואה בטראקרים הפרטיים שאני מנויי אליהם גירסאות חדשות של utorrent מאושרות הכי מהר ובקליינטים אחרים כגון qbittorrent יש הרבה בלאגן (כולל אישור של גירסאות ואחרי זה blacklist לאותה הגירסא שקודם אישרו).

יש יתרונות וחסרונות לתוכנה שמעדכנת כל הזמן. לפחות לבינתיים אני מעדיף לדבוק בגירסה מסוימת של utorrent ולא לעדכן בכלל (או לעדכן פעם בכמה שנים אם ממש חייבים כמו עכשיו).

לבסוף שאלה לגבי qbittorrent: האם מישהו יכול לאשר או להכחיש את הדיווחים שיש באינטרנט ש-qbittorrent לא מתמודד יפה עם מאות של טורנטים (נגיד 500 טורנטים)?

...

אישית היה לי 659 טורנטים ב qbittorrent והוא לא מצמץ אבל זה על לינוקס לא ווינדוס אבל אני לא חושב שיש הבדל בין המערכות הפעלה מבחינת תוכנה עצמה

[damngirl21]

usenet .

אם חייב אז לפחות Deluge

[eran405]

מסתבר ש-utorrent 3.5.3 אוכל משאבי מערכת בקצב מסחרר, ניסיתי קצת לשחק עם ההגדרות שלו אבל ללא הועיל. לבינתיים שנמכתי ל-2.2.1 שעובדת סביר אבל אני פחות אוהב אותה (הממשק פחות טוב לדעתי + לפחות בדימיון שלי הקצבים שאני מקבל יותר נמוכים).

אצטרך למצוא זמן בהקדם לעבור ל-qbittorrent ולקוות לטובה.

[eran405]

העברתי הכל ל-qbittorrent, יחסית בקלות בעיקר תודות לתוכנה כאן: https://qbforums.shiki.hu/index.php?topic=3224.0
כמובן שהיו לה כמה זיופים קטנים שהפכו לבלאגן גדול כי אני לא רגיל לממשק שלפחות כרגע נראה כמו חיקוי עלוב לממשק של utorrent....

בכל מקרה, הבעיה העיקרית שכרגע נשארה לי זה ה-rss downloader. ב-utorrent יש אופציה של smart episode filter שמורידה רק את הגירסא הראשונה של כל פרק (שעונה ל-filter כמובן). איך מגדירים דבר כזה ב-qbittorrent?

בנוסף, אם במקרה למישהו יש חשבון ב-HDT ויודע איך לקנפג את ה-rss שלהם? כמובן שהכל עובד פיקס בכל גירסא של utorrent אבל למה שזה יעבוד גם ב-qbittorrent....

[eran405]

למקרה שמישהו עוקב אחרי זה: smart episode filter פשוט אין ב-qbittorrent - יש להם feature request לזה כבר המון זמן אז אין סיבה להאמין שיהיה את זה בעתיד הנראה לעין.

בנוסף אם ה-rss משתמש ב-cookies זה בעיה בגירסאות עדכניות של qbit: בגירסא 3.3.16 זה עובד אבל בגירסאות 4 ומעלה זה כבר לא עובד.

(חזרתי ל-utorrent 3.3.2 שמסתבר שזאת הגירסא היחידה שבאמת עובדת אצלי כמו שצריך - מחזיק אצבעות שלא יעשו blacklist לגירסא הזאת בטראקרים שאיכפת לי מהם...)

[none77]

אולי בtixati

[eran405]

@none77
·

תודה על ההצעה, Tixati באמת נראה מעניין במבט ראשון. לצערי הוא אסור בטראקרים הפרטיים שאני ממש חייב אז זה לא ממש אופציה בשבילי.

[eizen5]

נמחק.

[eran405]

@JohnDue
·

עם uTorrent 3.5.3 אני רואה צריכת זיכרון מטורפת (תעבור לדף performance תחת ה-task manager). אין שום דבר שוראים תחת ה-process של ה-utorrent (לפחות שום דבר שאני מצאתי), אבל אם נגיד אני משאיר את ה-utorrent פתוח לילה שלם, למחרת אני רואה שצריכת הזיכרון הכללית גבוהה מאד והדבר היחיד שמחזיר אותה לרמות רגילות זה לסגור את ה-utorrent. לכן אני חושד שזה לא זליגת זיכרון רגילה אלא אכילה של משאבי מערכת שלדעתי לא נחשבים בסטיסטיקה של ה-process (בחיפושים בגוגל אפשר לראות טענות ש-utorrent לא סוגר קבצים וכאלה).

מה שבטוח שזאת בעיה ידועה בגירסאות עדכניות של utorrent ולא רק אצלי. הנה לדוגמא דף שמראה את מה שניסיתי להסביר לעיל בצורה ויזואלית:
https://www.reddit.com/r/torrents/comme ... ing_up_to/

אם אצלך 3.5.3 לא מתנהג ככה אז הרווחת. אני בהחלט הייתי מעדיף את ה-3.5.3 אלמלא התופעה הזאת.

כהערת אגב, אתקן קצת את מה שכתבתי קודם לגבי ה-smart episode filter בגירסאות עתידיות של qbit:
https://github.com/qbittorrent/qBittorrent/pull/5287
כלומר הם כן הכניסו smart episode filter כלשהו לקוד העדכני של qbit אבל זה לא הספיק להכנס לגירסא 4.0.4. מעניין יהיה לבדוק את זה בגירסא הבאה.

יש עוד בעיות שאתה מכיר בגירסא האחרונה של qbit?
מהמעט שהספקתי לראות הביצועים שלה נראו די טובים, אולי אפילו יותר טובים מ-utorrent (בדקתי במעבר מ-utorrent 2.2.1 ל-qbit 4.0.4 ובין הגירסאות האלו אני כנראה מעדיף את הביצועים של ה-qbit). בהנחה שבגירסא הבאה יהיה באמת smart episode filter, זה משאיר מבחינתי רק את הבעיה של ה-rss של HDT שעובד כרגע רק בגירסא 3.3.16.

תעבור על הפורום/REPO ותראה לבד. כבוד לאחרים שמוכנים לשמש בודקי BETA. לא אני...
...

...

·

בכל תוכנה יש תמיד הרבה בעיות ובאגים פתוחים. השאלה איזה בעיות קריטיות יש פתוחות כרגע. לדוגמא דברים שהם deal breakers מבחינתך.

[eran405]

@JohnDue
·

אתה חוזר ומראה תמונת מסך של ה-process. הבעיה היא ש-utorrent טוחן משאבי מערכת שלא נספרים במספרים שאתה רואה במסך הזה.(אתה יכול לטעון שעצם זה שאתה לא רואה את זה בסטטיסיקה של ה-process תחת task manager זה באג של מערכת ההפעלה אבל אני מנחש שיש להם סיבה טובה שזה ככה). כמו שהסברתי למעלה וגם נתתי קישור למקור בלתי תלוי ואם תחפש בגוגל תמצא עוד רבים כאלה - זה כן באג של utorrent ולא באג של מערכת ההפעלה.

כאמור, אם אצלך ה-utorrent לא מתנהג ככה אז הרווחת.

[eran405]

@JohnDue
·

אם אתה מתכוון הגדרת ה-disk cache ב-utorrent אז זה 512M אצלי אבל ניסיתי לשחק עם ההגדרות במסך הזה ללא הועיל (עם utorrent 3.5.3 כמובן). אם באמת אין לך את התופעה הזאת אשמח לתמונת מסך של ההגדרות אצלך תחת disk cache ואני אנסה בדיוק את אותן הגדרות.

בדקתי בלילה את bittorrent 7.10 ויש בדיוק את אותה הבעיה (למיטב הבנתי bittorrent ו-utorrent הם אותו הדבר היום).

הנה קצת תמונות שאולי יבהירו לך את הבעיה:

אחרי 9 שעות שה-utorrent/bittorrent דלוק הנה מצב הזיכרון שלו לפי taskmanager:
[imgbig]http://images2.imagebam.com/52/1c/d7/be ... 620493.png[/imgbig] או סטטיסטיקה יותר מלאה מ-procexp:

בכל מקרה אתה יכול לראות שזה מאד דומה למצב אצלך ובטוח אין פה הסבר ל-6G זיכרון!

עכשיו נבדוק קורה לצריכת זיכרון הכללית של המחשב כאשר הפעולה היחידה שאני עושה זה סוגר את ה-utorrent/bittorrent:
[imgbig]http://images2.imagebam.com/55/1a/e4/9c ... 620413.png[/imgbig]
ה-physical memory יורד מ-11.4G ל-5.3G, כלומר במעשי ה-utorrent/bittorrent לוקח 6G זיכרון (וזה סה"כ אחרי 9 שעות שהוא רץ).

בדיוק אותה הבדיקה עם גירסאות 3.3.2 או 2.2.1 של utorrent אין את הבעיה הזאת (עם בדיוק אותן הגדרות כמה שאפשר ובטוח אם בדיוק אותן הגדרות ב-disk cache).

אם יש לך תובנות אשמח לשמוע.

[Huber]

ב. לחפש ב-advanced את הערך net.discoverable ולכבות אותו (לשנות אותו ל-false).

...

·
כרגע מסתכל בהגדרות מקתדמות בגירסה 3.5.3 ואין שום הגדרה כזו.

[eran405]

כרגע מסתכל בהגדרות מקתדמות בגירסה 3.5.3 ואין שום הגדרה כזו.

...

·

בגירסא 3.5.3 ,תקינו את הפרצות ואין צורך לשנות הגדרות בשביל להגן על המחשב שלך.

[Huber]

למיטב הבנתי כל הגירסאות 3.x

...

·

אז אתה צריך לשנות את הניסוח בהודעה הראשונית שלך כי 3.5 בהחלט נופל תחת 3.X

[eran405]

@Huber
·

אוקי תיקנתי גם את הפוסט הראשי לחדד את הנקודה.

[Huber]

אז למה לא פשוט להמליץ לעדכן ל 3.5.3 וזהו? זו הגירסה בה אני משתמש והיא עושה עבודה מצויינת, לא נתקלתי בשום תופעה מהתופעות שצוינו פה (זליגת משאבים וכו). באופן כללי מומלץ תמיד לבצע עידכונים במחשב אישי כמעט להכל, לרב היתרונות עולים על החסרונות.

[eran405]

@Huber
·

לא המלצתי על שום דבר, רק רציתי לשתף בעיקר את המידע על קיום הפרצות. אם הייתי חייב להמליץ על משהו כנראה שהייתי ממליץ על הגירסא האחרונה של qbittorrent.

לצערי כרגע יש לי בעיה באיזו קליינט להשתמש בעצמי:
- כאמור ב-qbittorrent יש לי בעיה שה-rss downloader שלו לא מספיק חכם לשימושים שלי + לא עובד עם אחד הטראקרים הפרטיים שלי. אולי מתישהוא אנסה לעבור ל-qbittorrent + flexget או משהו כזה.
- גירסא 3.5.3 של utorrent אצלי במחשב אוכלת משאבי מערכת בקצב מסחרר. הלוואי שהייתי מוצא דרך להתגבר על זה כי באמת הייתי יכול להיות שמח עם הגירסא הזאת.
- גירסא 3.3.2 הרגע הורידו מה-whitelist באחד מהטראקרים הפרטיים שלי אז זה גם כבר לא אופציה.
נשארתי רק עם 2.2.1 שאני לא ממש אוהב אבל כנראה שאין לי ברירה אלא להשתמש בה .

אם למישהו יש רעיונות איך להתגבר על הבעיה של אכילת המשאבים ב-utorrent 3.5.3 אשמח לנסות אותם.