Jaa uudelleen — sisältö Vincent Strubelilta
PHP2Shell: varo jälkijäristyksiä
PHP:n kriittisten haavoittuvuuksien hieman kaoottinen julkaisu viime viikolla sai aikaan merkittävän maailmanlaajuisen liikekannallepanon, jossa korjaukset asennettiin kiireellisesti uskomattomaan määrään verkkosivustoja. Voimme olla siitä iloisia.
Mutta meidän ei pitäisi liian nopeasti ajatella, että ongelma on ratkaistu: riski siirtyy verkkosivustoilta lukemattomiin kolmannen osapuolen tuotteisiin, jotka sisältävät PHP-versioita (satunnaisesti verkkohallintakäyttöliittymässä): reitittimiin, palomuureihin, teollisuusohjaimiin, laajassa merkityksessä yhdistettyihin esineisiin… Nekin on päivitettävä.
Hyödyllinen resurssi, jotta ei hukkuisi aiheen monimutkaisuuteen: kollegojemme 
Nationaal Cyber Security Centrumissa (NCSC-NL) aloite, jotka kokoavat github-varastoon saatavilla olevat tiedot PHP:tä sisältävien tuotteiden päivityksistä.
Tämä antaa meille mahdollisuuden yhdistää ponnistelumme ainakin Euroopan laajuisesti ja välttää työn tai tietojen päällekkäisyys. Bravo ja kiitos heille! ANSSI viittaa nyt tähän varastoon omassa hälytyksessään ja syöttää omat tietonsa yhteiseen hakemistoon.
Github-varasto: https://lnkd.in/eXTxysrt
LinkedIn-lähteet
- Profiili: Pierre Jean Duvivier dit Sage (LinkedIn)
- Jaettu tekijä: Vincent Strubel (LinkedIn)
Julkaisu ⚠️ PHP2Shell: varo jälkijäristyksiä ilmestyi ensimmäisenä sivustolla les plumes qui mordent.
Usein kysytyt kysymykset
UKK PHP2Shell Varo jälkijäristyksiä
K Mikä on PHP2Shell
V Se on nimi eräänlaiselle hyökkäykselle, jossa PHP-koodin haavoittuvuus antaa hyökkääjän suorittaa omia komentojaan palvelimellasi — usein heti vastaavan haavoittuvuuden korjaamisen jälkeen. Jälkijäristykset ovat seurantahyökkäyksiä, jotka iskevät ennen ensimmäisen korjaamista tai sen jälkeen
K Mitä jälkijäristykset tarkoittavat tässä
V Se on metafora maanjäristyksistä. Yhden hyväksikäytön jälkeen hyökkääjät jatkavat jäljelle jääneiden aukkojen, huomaamatta jääneiden tiedostojen tai heikkojen korjausten etsimistä. Ne seurantaiskut ovat jälkijäristyksiä — ja ne voivat olla yhtä vahingollisia
K Onko PHP2Shell tietty CVE tai todellinen tuote
V Ei. Se on kuvaava nimike, ei yksittäinen haavoittuvuustunniste tai työkalu. Käsittele sitä varoitusmallina: PHP-haavoittuvuus, joka johtaa komentotulkin suorittamiseen, sekä seurantahyökkäykset
K Miten hyökkääjä pääsee PHP:stä komentotulkkiin
V Yleensä turvattoman syötteen käsittelyn kautta — esimerkiksi välittämällä käyttäjän syöte funktioille system, exec, shell_exec, popen tai backtick-operaattorille — tai tiedostolatausten, käyttäjän hallitsemien polkujen kanssa käytettävien include/require-toimintojen tai deserialisointivirheiden kautta. Kun koodi suoritetaan, he voivat käynnistää komentotulkin
K Miksi minun pitäisi välittää, jos olen jo korjannut päävirheen
V Koska jälkijäristykset kohdistuvat siihen, mitä sinulta jäi huomaamatta: korjaamattomiin kopioihin, varmuuskopiotiedostoihin, debug-päätepisteisiin, välimuistiin tallennettuun koodiin tai muihin palveluihin, jotka jakavat samat tunnistetiedot. Puhdas korjaus ei peru jo aiheutettua vahinkoa
K Mitkä ovat hyökkäyksen yleisiä varoitusmerkkejä
V Odottamattomat lähtevät yhteydet, uudet tai muuttuneet tiedostot verkkohakemistoissa, oudot cron-työt, tuntemattomat käyttäjät tai SSH-avaimet, epätavalliset prosessit sekä virhelokien tai 500-virheiden piikit
K Miten tarkistan, onko sovellukseni haavoittuva
V Etsi koodistasi vaarallisia funktioita ja katso, ottavatko ne vastaan käyttäjän syötettä. Tarkista myös tiedostolataukset, include-polut ja unserialize-kutsut. Aja staattisen analyysin työkalu ja riippuvuus
