Λεπτομερής εκ των υστέρων μιας αμυχής ιστοχώρου μέσω WordPress & πώς να προστατεύσει το WordPress σας Blog από τη χάραξη

Αυτό το WordPress blog χαράχτηκε για λίγες ώρες στις 24η Δεκεμβρίου (συμπαθητικό χριστουγεννιάτικο δώρο!) από τη Ρωσία. Ο χάκερ εκμεταλλεύτηκε διάφορες ευπάθειες WordPress στα διοικητικά χειρόγραφα για να κερδίσει τη πλήρη πρόσβαση στον ιστοχώρο (όπως επιτρέπεται στο χρήστη apache), συμπεριλαμβανομένης της δυνατότητας να φορτωθούν & να τρεχτούν τα χειρόγραφα, να διαγραφεί οποιοδήποτε αρχείο που ήταν κύριο από το χρήστη apache, να αντιμετωπισθεί το αρχείο και οι κατάλογοι κ.λπ. Αυτό είναι μια πλήρης κοινοποίηση πώς η περιοχή χαράχτηκε και πώς ανίχνευσα και αφαίρεσα την αμυχή μαζί με λίγα σχόλια στην κατάσταση της ασφάλειας WordPress. Πρόσθεσα ένα WordPress plugin και έκανα τις τροποποιήσεις για να αποτρέψω οποιεσδήποτε τέτοιεσδήποτε προσπάθειες χάραξης στο μέλλον WordPress. Αυτό είναι ένας μούστος που διαβάζεται για τα bloggers WordPress.

Πώς η χάραξη περιοχών ανιχνεύθηκε;

Ο ιστοχώρος ήταν κανονικός. Εντούτοις όταν προσπάθησα να δημοσιεύσω ή ακόμα και να σώσω μια θέση, παρουσίασε απλά κενή σελίδα. Η θέση δεν δημοσιεύθηκε ποτέ ή ακόμα και σώθηκε. Ήξερα ότι κάτι έκανε λάθος.

Ο πρώτος ύποπτός μου ήταν ζεύγος των plugins που ήρθε σε επαφή με τους εξωτερικούς κεντρικούς υπολογιστές αφότου δημοσιεύστε. Τους καθιστούσα ανίκανος. Καθιστούσα ανίκανες επίσης τις περιοχές μεταλλικού θόρυβου δεδομένου ότι ήταν μερικές φορές γνωστές για να προκαλούν τα προβλήματα. Κανένας αυτόν που ενισχύεται από. Καθιστούσα ανίκανα σταδιακά όλων των plugins. Ακόμη και με όλα τα άτομα με ειδικές ανάγκες plugins, η θέση δεν θα δημόσιευε. Αφέθηκα με μόνο μια επιλογή.

Αποφάσισα να επισημάνω τον κώδικα WordPress για να ανακαλύψω την αιτία του λάθους. Άρχισα με το αρχείο για τη μετα υποβολή - post.php. Βρήκα κάτι με τον κώδικα WordPress που υπονομεύει σοβαρά την ασφάλειά του, μια ραγισμένη επιλογή σχεδίου αλλά περισσότερο σε το αργότερα. post.php οι κλήσεις admin.php που καλεί WP-config.php που καλεί στη συνέχεια τις WP-τοποθετήσεις WP-settings.php είναι ένα ενδιαφέρον αρχείο. Αυτό το αρχείο είναι όχι μόνο για τις τοποθετήσεις. Φορτώνει τους τόνους των αρχείων, φορτώνει και εκτελεί τα plugins και περισσότερων. Το πρόβλημα ήταν, όπως υποψιάστηκα αρχικά, στα plugins αλλά που ένα; Ο κώδικας που φορτώνει τα plugins σε WordPress είναι:

εάν (get_option («active_plugins»)) {
	$current_plugins = get_option («active_plugins») 
	εάν (is_array ($current_plugins)) {
		foreach ($current_plugins ως $plugin) {
			εάν («! = file_exists $plugin && (ABSPATH. PLUGINDIR. «/». $plugin))
				include_once (ABSPATH. PLUGINDIR. «/». $plugin) 
		}
	}
}

Τα ενεργά plugins, όπως μπορείτε να δείτε, φορτώνονται άμεσα με το include_once. Πώς βρίσκω το plugin που ενώ η φόρτωση αναγκάζει το χειρόγραφο για να πεθάνει;
Πρόσθεσα τις απλές δηλώσεις syslog () πριν και μετά από το plugin. Εντούτοις παρήγαγε την άφθονη παραγωγή από όλη την κυκλοφορία.
Θυμηθείτε ότι διόρθωνα σε μια πολυσύχναστη ζωντανή περιοχή. Έτσι πρόσθεσα ότι καθορίστε σε post.php που έλεγχα πρίν κάνω ένα syslog. Ο κώδικας διόρθωσης ήταν:
εάν («! = file_exists $plugin && (ABSPATH. «WP-content/plugins/». $plugin)) {
εάν (καθορισμένος («TG_ADMIN»)) syslog (LOG_ALERT, «φόρτωση $plugin…»)
include_once (ABSPATH. «WP-content/plugins/». $plugin)
εάν (καθορισμένος («TG_ADMIN»)) syslog (LOG_ALERT, «φορτωμένο $plugin…»)
}

Το αποτέλεσμα ήταν εκπληκτικό. Ο πρώτος plugin που φορτώθηκε δεν ήταν ούτε ένα plugin που ήξερα υπάρχων, πόσο μάλλον χρήση αυτό. Ονομάστηκε το ro8kbsmawge.txt. Η πλήρης πορεία στο plugin ήταν το /../../../../../../../../../../../../../../../../../../tmp/ro8kbsmawge.txt
Αποτελεσματικά η πορεία αρχείων ήταν το /tmp/ro8kbsmawge.txt. Ένα αποκαλυπτικό σημάδι αυτού του χάκερ είναι η παρουσία του αρχείου ro8kbsmawge.txt στον κατάλογο tmp σας.

Μετονόμασα το αρχείο και το πρόβλημα λύθηκε για τώρα. Θα μπορούσα να δημοσιεύσω τις θέσεις τελικά. Εντούτοις η περιοχή μου δεν ήταν ακόμα ασφαλής ενάντια στις μελλοντικές επιθέσεις. Θα απαριθμήσω έπειτα το πώς εξασφάλισα την περιοχή μου και παρέχω περισσότερες πληροφορίες για το δράστη και στο πώς η περιοχή χαράχτηκε κατά πρώτο λόγο.

Πώς η περιοχή ήταν η χαραγμένη χρησιμοποίηση WordPress;

Η περιοχή εκμεταλλεύτηκε μια ευπάθεια στο /wp-admin/options.php που επέτρεψε σε την για να πάρει τα μπισκότα επικύρωσης που απαίτησε να φορτώσει το αρχείο ro8kbsmawge.txt στον κατάλογο του /tmp μου χρησιμοποιώντας το /wp-admin/inline-uploading.php. Χρησιμοποίησε έπειτα το /wp-admin/plugins.php για να ενεργοποιήσει το ro8kbsmawge.txt ως plugin χρησιμοποιώντας τις επιλογές -επιλογή-misc κατά μήκος του τρόπου.

Τελικά ο χάκερ είχε πρόσβαση στην περιοχή χρησιμοποιώντας τη μαγική λέξη του piska233 και εκοίταξε βιαστικά λίγους καταλόγους στον κεντρικό υπολογιστή μου πρίν αποσύρεται για την ημέρα. Όλοι αυτοί έγιναν μέσα σε μια έκταση 3 λεπτών που οδηγεί στο συμπέρασμα ότι ένα χειρόγραφο χρησιμοποιήθηκε για να εκμεταλλευτεί τις τρύπες και να ενορχηστρώσει τη χάραξη.

Το πλήρες κούτσουρο, εκτός από τη διεύθυνση 217.74.245.85 IP που αφαιρέθηκε για τον πλεονασμό, της δράσης χάκερ στην περιοχή μου είναι:

Οι καλές ειδήσεις είναι ότι καμία ζημιά δεν έγινε.

Θέματα ασφαλείας WordPress & ρωγμή σχεδίου

Η βασική ρωγμή σχεδίου είναι ότι οι WP-τοποθετήσεις φορτίων διαμόρφωσης WordPress φόρτωσης (που απαιτείται για την πρόσβαση βάσεων δεδομένων για τους ελέγχους επικύρωσης) που φορτώνει τους τόνους άλλων πέσος Φιλιππίνων αρχειοθετούν καθώς επίσης και όλο το WordPress plugins και οποιεσδήποτε αμυχές. Όλοι αυτοί γίνονται ακόμη και προτού να έχοντας μια πιθανότητα να επικυρώσετε το χρήστη. Αυτό είναι εξαιρετικά επικίνδυνο για τα χειρόγραφα διοίκησης δεδομένου ότι επιτρέπει σε έναν χάκερ για να περάσει τα επιχειρήματα και να εκτελέσει τα gazillions των αρχείων WordPress που μπορούν ή δεν να έχουν τους κατάλληλους ελέγχους ασφαλείας σε ισχύ. Η επικύρωση και η εξουσιοδότηση χρηστών πρέπει να γίνουν στην αρχή για να αποτρέψουν τα πλαστά χειρόγραφα από να προχωρήσουν περαιτέρω. Για να κάνουν ότι το WP -WP-config πρέπει να τροποποιηθεί για να μην περιλάβει τις WP-τοποθετήσεις. Πρέπει να περιληφθεί χωριστά όπου απαιτείται, ακόμη και με κόστος του πλεονασμού. Τα χειρόγραφα διοίκησης (κάτω από το WP-admin) απαιτούν μόνο το WP -WP-config για να πάρουν τις λεπτομέρειες βάσεων δεδομένων για να επικυρώσουν το χρήστη και να προσδιορίσουν τις εξουσιοδοτήσεις του. Μετά από την επικύρωση το υπόλοιπο πρέπει να φορτωθεί. Αυτή η ρωγμή αξιοποιήθηκε για να πάρει τις λεπτομέρειες μπισκότων επικύρωσης που χρησιμοποιήθηκε στη συνέχεια. Ο ακριβής άθλος χρησιμοποιούμενος σε αυτήν την περίπτωση είναι δύσκολο να βριαλθεί από ακριβώς τα κούτσουρα κεντρικών υπολογιστών. Εντούτοις προκλήθηκε από το πρόσφατο πρόβλημα επικύρωσης όπως περιγράφεται ανωτέρω.

Εκεί arewere τα γνωστά ζητήματα και με τα δύο options.php & φορτώνουν το χειρόγραφο, μερικά από το οποίο είναι λεπτομερή εδώ.

Μια από τις προκλήσεις με WordPress είναι ότι οι εξετάσεις ασφαλείας ήταν συνήθως μια ύστερη σκέψη (αίσθηση ελεύθερη να διαφωνήσει) που ήταν κλεισμένες με μάνταλο επάνω καθώς WordPress έγινε όλο και περισσότερο δημοφιλές. Πρέπει συνεχώς να ενημερώσετε το WordPress σας για να συμβαδίσετε με τα πιό πρόσφατα μπαλώματα.

Υπάρχουν 71 αναφερόμενα advisories ασφάλειας σε Secunia (22 που αναφέρονται το 2007) και 9 ιούς βασισμένους σε WordPress (ένα από το 2007).

Πιθανότατα η περιοχή χαράχτηκε χρησιμοποιώντας την ευπάθεια επικύρωσης μπισκότων όπως εκτίθεται λεπτομερώς εδώ.

Διάφορο WordPress plugins και τα θέματα έχουν επίσης τα advisories ασφάλειας:
- AdSense-λουξ 0.x (plugin για WordPress)
- AndyBlue 1.x (θέμα για WordPress)
- Blix 0.x (θέμα για WordPress)
- Blixed 1.x (θέμα για WordPress)
- BlixKrieg 2.x (θέμα για WordPress)
- Μπλε μνήμες 1.x (θέμα για WordPress)
- myGallery 1.x (plugin για WordPress)
- PictPress 1.x (plugin για WordPress)
- Λίμνη 1.x (θέμα για Wordpress)
- Redoable 1.x (θέμα για WordPress)

Μπορείτε να διαβάσετε όλα τα advisories Secunia σε WordPress εδώ.

Το cWho ήταν ο χάκερ;

Η διεύθυνση IP του χρήστη αρμόδιου για τη χάραξη της περιοχής μου είναι το 217.74.245.85. Η διεύθυνση IP ανήκει στο kubangsm-δίχτυ:

% Πληροφοριών αφορούσαν «το 217.74.245.0 /24AS29497»

διαδρομή:          217.74.245.0 /24
descr:          Kubangsm-καθαρός
προέλευση:         AS29497
MNT-από:         Kubangsm-MNT
πηγή:         ΩΡΙΜΟΣ # φιλτραρισμένος

Είναι κύριο από:

πρόσωπο:       Volkov Denis
διεύθυνση:      61, στρεπτόκοκκος Gimnazicheskaya. 350000, Krasnodar, Ρωσία
τηλέφωνο:        +7 8612 660126
fax-αριθ.:       +7 8612 401505
ηλεκτρονικό ταχυδρομείο:       d.volkov@kuban.mts.ru
NIC -NIC-hdl:      Vd370-ΩΡΙΜΟΣ
πηγή:       ΩΡΙΜΟΣ # φιλτραρισμένος

Ο ιστοχώρος τους είναι το http://www.kuban.mts.ru/. Εμφανίζονται να είναι νόμιμοι κινητοί & Πάροχος Υπηρεσιών Ίντερνετ. Πιθανότατα η υπηρεσία Διαδικτύου τους δεν χρησιμοποιείται σωστά από το spammer. Εντούτοις αποφάσισα να απαγορεύσω αυτήν την διεύθυνση IP από την πρόσβαση του κεντρικού υπολογιστή μου.

Ο χάκερ ήταν πλέον πιθανός χρησιμοποιώντας την όπερα 9.24 μηχανή αναζήτησης (σχεδόν πιό πρόσφατη έκδοση) στα παράθυρα XP (NT 5.1). Ενώ ο πράκτορας χρηστών μπορεί να επινοηθεί, δεν υπάρχει κανένας λόγος να υποψιαστεί τόσο σε αυτήν την περίπτωση. Η σειρά πρακτόρων χρηστών επίσης δείχνει ότι χρησιμοποιούσε το ρωσικό γλωσσικό αρχείο της όπερας.

Ανατομία του χειρογράφου χάραξης

Το χειρόγραφο χάραξης είναι ένα χειρόγραφο πέσος Φιλιππίνων με ένα συμπαθητικές σχόλιο και μια γραμμή TODO:
/*Magic περιλάβετε τη Shell από το MAG icq 884888*/
//TODO: ñëèòü ôàéëî íà ñâîé ôòï (!)

Αποτελεσματικά είναι ένας διευθυντής αρχείων, που προσαρμόζεται πιθανώς από οποιουσδήποτε από του ελεύθερου διευθυντή αρχείων πέσος Φιλιππίνων στο δίχτυ. Σας επιτρέπει:

• Να κοιτάξει βιαστικά τους καταλόγους και τα αρχεία
• Να εκδώσει τα αρχεία
• Να μετονομάσει τα αρχεία
• Να διαγράψει τα αρχεία
• το Zip & ανοίγει φερμουάρ τα αρχεία
• Φορτώστε & μεταφορτώστε τα αρχεία & τους καταλόγους
• Εκτελέστε τα αυθαίρετα χειρόγραφα πέσος Φιλιππίνων
• Εκτελέστε τις αυθαίρετες εντολές κοχυλιών
• Παρέχει το βασικό κεντρικό υπολογιστή, το σύστημα & τις πληροφορίες πέσος Φιλιππίνων

Ο όγκος του κώδικα εκτελείται όταν λαμβάνει μια ιδιαίτερη σειρά ερώτησης σε ένα κανονικό HTTP ΠΑΊΡΝΕΙ το αίτημα. Έτσι ενώ το http://blog.taragana.com/ θα λειτουργήσει όπως συνηθισμένο, το http://blog.taragana.com/?piska233 θα ανοίξει με αυτό το μαγικό κρυμμένο κοχύλι που θα εκθέσει τον ολόκληρο ιστοχώρο σας σε έναν εξωτερικό χάκερ.
Σημείωση: Δεν υπάρχει τίποτα μαγικό για piska233. Είναι ένας κωδικός πρόσβασης που επιτράπηκε πιθανότατα για να επιλεχτεί και να δοθεί ως εισαγωγή στο αρχικό χειρόγραφο που ενέχυσε αυτόν τον Δούρειο ίππο στην περιοχή μου.

Ένας τρωικός που προστατεύεται από τα σκουλήκια…

Ο τρωικός λαμβάνει μέτρα για να προστατευθεί από το σκουλήκι! Ο κώδικας που στο τέλος εκτελείται πάντα είναι:

$post_arr=implode («. », $_POST)
$get_arr=implode («. », $_GET)
$cook_arr=implode («. », $_COOKIE)
$post_arr_key=implode («. », @array_flip ($_POST))
$get_arr_key=implode («. », @array_flip ($_GET))
$cook_arr_key=implode («. », @array_flip ($_COOKIE))
$other_shtuki=@file_get_contents («πέσος Φιλιππίνων: //input»)
$cracktrack = strtolower ($post_arr.$get_arr.$cook_arr.$post_arr_key.$get_arr_key.$cook_arr_key.$other_shtuki)
$wormprotector = σειρά («base64», «user_pass», «ένωση», «επίλεκτος», «substring», «ή id=»)
$checkworm = str_replace ($wormprotector, «*», $cracktrack)
εάν ($cracktrack! =) κύβος $checkworm ("")

Ελέγχει για ορισμένες λέξεις κλειδιά (στη σειρά $wormprotector) μέσα GET, ΘΈΣΗ & στοιχεία ΜΠΙΣΚΌΤΩΝ. Όταν είναι παρόντες αποβάλλει απλά. Αυτό είναι ένα από τα μέσα να ανιχνευθεί η τρέχουσα έκδοση του χειρογράφου. Αυτό είναι επίσης ο λόγος για τον οποίο απέτυχε να υποβάλει μια θέση. Ένα url όπως αυτό θα πέθαινε επίσης - http://localhost/wordpress/?select όπως το http://localhost/wordpress/?base64.
Εντούτοις δεν υπάρχει τίποτα για να είναι ευτυχής περίπου. Θα διαρκέσει ένα λιγότερο από λεπτό για να τροποποιήσει το χειρόγραφο και να το καταστήσει άνοσο στην ανίχνευση σε WordPress.

Πώς να προστατεύσει την περιοχή WordPress σας από τη χάραξη;

Μπορείτε να προστατεύσετε τα χειρόγραφα διοίκησής σας (χειρόγραφα κάτω από το WP-admin), όπου οι περισσότερες επιθέσεις δημιουργούνται συμπεριλαμβανομένης αυτής, με τον περιορισμό της πρόσβασης στα χειρόγραφα admin σας στη συγκεκριμένη σειρά διευθύνσεων IP ή διευθύνσεων IP. Μπορείτε επίσης να προσθέσετε μια βασική επικύρωση πάνω από WordPress με τη χρησιμοποίηση του αρχείου httpd.conf ή .htaccess σας. Αυτό προσθέτει ένα στρώμα της ασφάλειας που οποιοσδήποτε χάκερ θα πρέπει να υπερνικήσει προτού να φτάσει στις ευπάθειες WordPress σας.

Το WordPress πρέπει να αναβαθμιστεί όσο το δυνατόν τακτικότερα. Εντούτοις αυτός είναι ευκολότερος εν λόγω από γίνοντας. Κανονικά προτιμώ να περιμένω μερικές εκδόσεις προτού να σταθεροποιήσουν οι νέες εκδόσεις.

Οι αδυναμίες στην ασφάλεια WordPress έχουν επιπτώσεις σε καθενός από μας, βασισμένα στο WordPress bloggers. Ενώ γνώριζα πλήρως τις δυνατότητες και σκέφτηκα ακόμη και το γράψιμο ενός plugin για να αντιμετωπιστούν αυτά τα ζητήματα πριν, αποφάσισα να περιμένω (και να αντιμετωπίσει τα πιό επείγοντα ζητήματα ή έτσι σκέφτηκα) τη στήριξη στο νόμο της πιθανότητας για να προστατεύσω τις περιοχές μου τελικά υπάρχουν αρκετοί εκατομμύριο WordPress blogs έξω εκεί, πόση πιθανότητα να στοχεύσουν από έναν χάκερ; Καλά, όπως βγάζει, έκανα λάθος.
Για να απλοποιήσω την εξασφάλιση WordPress, έχω δημιουργήσει ένα plugin, που απελευθερώνεται σύντομα, ποιες δυνάμεις αυτές οι ιδέες και περισσότεροι να εξασφαλιστούν οι εγκαταστάσεις WordPress σας. Λειτουργεί με .htaccess σας αλλά λειτουργεί επίσης ακόμα και όταν η δυνατότητα .htaccess δεν είναι διαθέσιμη. Έχω αρχίσει ήδη το στα blogs μου.