Споделяне отново — съдържание от Vincent Strubel
PHP2Shell: внимавайте за вторични трусове
Донякъде хаотичното публикуване на критични уязвимости в PHP миналата седмица предизвика забележителна мобилизация в глобален мащаб за спешно прилагане на кръпките на невероятен брой уебсайтове. Можем да се радваме на това.
Но не бива да мислим твърде бързо, че проблемът е решен: рискът се измества от уебсайтовете към безбройните продукти на трети страни, които вграждат версии на PHP (произволно в уеб административен интерфейс): рутери, защитни стени, индустриални контролери, свързани обекти в широк смисъл… Те също трябва да бъдат актуализирани.
Полезен ресурс, за да не се удавим в сложността на темата: инициативата на нашите колеги 
от Nationaal Cyber Security Centrum (NCSC-NL), които обединяват в github хранилище наличната информация за актуализации на продукти, вграждащи PHP.
Това ни позволява да обединим усилията си поне в европейски мащаб и да избегнем дублиране на работа или информация. Браво и благодарности на тях! ANSSI вече реферира това хранилище в собственото си предупреждение и внася своята информация в общия каталог.
Github хранилище: https://lnkd.in/eXTxysrt
Източници от LinkedIn
- Профил: Pierre Jean Duvivier dit Sage (LinkedIn)
- Автор на споделянето: Vincent Strubel (LinkedIn)
Публикацията ⚠️ PHP2Shell: внимавайте за вторични трусове се появи първо в les plumes qui mordent.
Често задавани въпроси
ЧЗВ PHP2Shell Внимавайте за вторични трусове
В Какво е PHP2Shell
О Това е название за вид атака, при която уязвимост в PHP код позволява на нападател да изпълнява собствени команди на вашия сървър — често точно след като свързана уязвимост е била поправена. Вторичните трусове са последващи атаки, които удрят преди или след като първата е коригирана
В Какво означава вторични трусове тук
О Това е метафора от земетресенията. След експлоатация на една уязвимост нападателите продължават да търсят останали дупки, пропуснати файлове или слаби кръпки. Тези последващи удари са вторичните трусове — и те могат да бъдат също толкова разрушителни
В PHP2Shell конкретен CVE ли е или реален продукт
О Не. Това е описателен етикет, а не един идентификатор на уязвимост или инструмент. Отнасяйте се към него като към модел за предупреждение: PHP уязвимост, която води до изпълнение на shell, плюс последващите атаки
В Как нападателят преминава от PHP към shell
О Обикновено чрез небезопасна обработка на входни данни — например подаване на потребителски вход към system, exec, shell_exec, popen или обратни кавички, или чрез качване на файлове, include/require с потребителски контролирани пътища, или бъгове при десериализация. След като кодът се изпълни, те могат да стартират shell
В Защо трябва да ме интересува, ако вече съм поправил основния бъг
О Защото вторичните трусове насочват към това, което сте пропуснали: непачнати копия, резервни файлове, debug endpoints, кеширан код или други услуги, споделящи същите идентификационни данни. Чистата кръпка не отменя щетите, които вече са нанесени
В Какви са честите предупредителни знаци за атака
О Неочаквани изходящи връзки, нови или променени файлове в уеб директории, странни cron задачи, неизвестни потребители или SSH ключове, необичайни процеси и скокове в логовете за грешки или 500 отговори
В Как да проверя дали приложението ми е уязвимо
О Търсете в кода си опасни функции и вижте дали някоя приема потребителски вход. Проверете също качването на файлове, include пътищата и извикванията на unserialize. Стартирайте инструмент за статичен анализ и зависимост
