بازنشر — محتوایی از وینسنت استروبل
PHP2Shell: مراقب پس‌لرزه‌ها باشید
انتشار تا حدودی آشفته آسیب‌پذیری‌های بحرانی در PHP در هفته گذشته باعث بسیج چشمگیری در مقیاس جهانی برای اعمال فوری وصله‌ها روی تعداد باورنکردنی از وب‌سایت‌ها شد. ما می‌توانیم از این بابت خوشحال باشیم.
اما نباید خیلی سریع فکر کنیم که مشکل حل شده است: خطر از وب‌سایت‌ها به انبوهی از محصولات شخص ثالث که نسخه‌هایی از PHP را در خود جای داده‌اند (به‌طور تصادفی در یک رابط مدیریت وب) منتقل می‌شود: روترها، فایروال‌ها، کنترل‌کننده‌های صنعتی، اشیاء متصل به معنای گسترده… آن‌ها هم باید به‌روزرسانی شوند.
یک منبع مفید برای جلوگیری از غرق شدن در پیچیدگی موضوع: ابتکار همتایان ما 
در مرکز ملی امنیت سایبری (NCSC-NL)، که اطلاعات موجود درباره به‌روزرسانی‌های محصولات حاوی PHP را در یک مخزن گیت‌هاب تجمیع می‌کنند.
این به ما امکان می‌دهد حداقل در مقیاس اروپایی تلاش‌هایمان را ترکیب کنیم و از تکرار کار یا اطلاعات جلوگیری کنیم. آفرین و تشکر از آن‌ها! ANSSI اکنون این مخزن را در هشدار خود ارجاع می‌دهد و اطلاعات خود را به دایرکتوری مشترک تزریق می‌کند.
مخزن گیت‌هاب: https://lnkd.in/eXTxysrt
منابع لینکدین
- پروفایل: پیر ژان دوویویه معروف به ساژ (لینکدین)
- نویسنده مشترک: وینسنت استروبل (لینکدین)
پست ⚠️ PHP2Shell: مراقب پس‌لرزه‌ها باشید ابتدا در les plumes qui mordent ظاهر شد.
سوالات متداول
سوالات متداول PHP2Shell مراقب پس‌لرزه‌ها باشید
س PHP2Shell چیست
ج این نامی برای نوعی حمله است که در آن نقصی در کد PHP به مهاجم اجازه می‌دهد دستورات خود را روی سرور شما اجرا کند — اغلب درست پس از رفع یک آسیب‌پذیری مرتبط. پس‌لرزه‌ها حملات پیگیری هستند که قبل یا بعد از وصله شدن اولین حمله رخ می‌دهند
س پس‌لرزه‌ها در اینجا به چه معناست
ج این یک استعاره از زلزله است. پس از یک بهره‌برداری، مهاجمان به جستجوی حفره‌های باقی‌مانده، فایل‌های جاافتاده یا وصله‌های ضعیف ادامه می‌دهند. آن ضربه‌های پیگیری همان پس‌لرزه‌ها هستند — و می‌توانند به همان اندازه مخرب باشند
س آیا PHP2Shell یک CVE خاص یا یک محصول واقعی است
ج خیر. این یک برچسب توصیفی است، نه یک شناسه آسیب‌پذیری واحد یا ابزار. آن را به عنوان یک الگوی هشدار در نظر بگیرید: یک نقص PHP که منجر به اجرای شل می‌شود به علاوه حملات بعدی
س چگونه یک مهاجم از PHP به شل می‌رسد
ج معمولاً از طریق پردازش ناامن ورودی — برای مثال ارسال ورودی کاربر به system، exec، shell_exec، popen یا بک‌تیک‌ها — یا از طریق آپلود فایل، include/require با مسیرهای کنترل‌شده توسط کاربر، یا باگ‌های deserialization. زمانی که کد اجرا شود، می‌توانند یک شل ایجاد کنند
س چرا باید اهمیت دهم اگر قبلاً باگ اصلی را وصله کرده‌ام
ج زیرا پس‌لرزه‌ها چیزی را هدف می‌گیرند که شما از دست داده‌اید: نسخه‌های وصله‌نشده، فایل‌های پشتیبان، نقاط پایانی اشکال‌زدایی، کد کش‌شده یا سایر سرویس‌هایی که همان اعتبارنامه‌ها را به اشتراک می‌گذارند. یک وصله تمیز خسارت واردشده را جبران نمی‌کند
س نشانه‌های هشدار رایج یک حمله چیست
ج اتصالات خروجی غیرمنتظره، فایل‌های جدید یا تغییر یافته در دایرکتوری‌های وب، کرون‌جاب‌های عجیب، کاربران یا کلیدهای SSH ناشناس، فرآیندهای غیرعادی و جهش در گزارش خطاها یا خطاهای 500
س چگونه بررسی کنم که آیا برنامه‌ام آسیب‌پذیر است
ج کد خود را برای توابع خطرناک جستجو کنید و ببینید آیا هیچ‌کدام ورودی کاربر می‌گیرند. همچنین آپلود فایل‌ها، مسیرهای include و فراخوانی‌های unserialize را بررسی کنید. یک ابزار تحلیل ایستا و یک وابستگی اجرا کنید
