Ath-roinn — susbaint bho Vincent Strubel
PHP2Shell: bi air do chrann-aireachd ro chrithean-fuigheill
Thug foillseachadh car troimh-chèile so-leòntachdan èiginneach ann an PHP an t-seachdain sa chaidh adhbhar do ghluasad iongantach, air sgèile chruinneil, gus na pìosan a chur an sàs gu h-èiginneach air àireamh iongantach de làraich-lìn. Faodaidh sinn a bhith toilichte mu dheidhinn sin.
Ach cha bu chòir dhuinn smaoineachadh ro luath gu bheil an duilgheadas air a rèiteachadh: tha an cunnart a' gluasad bho làraich-lìn gu an uiread mòr de thoraidhean treas-phàrtaidh a tha a' gabhail a-steach dreachan de PHP (air thuaiream ann an eadar-aghaidh rianachd lìn): routers, ballachan-teine, riaghladairean gnìomhachais, nithean ceangailte anns an t-seagh fharsaing… Feumar iadsan cuideachd ùrachadh.
Goireas feumail gus nach tèid ar bàthadh ann an iom-fhillteachd a' chuspair: iomairt ar co-obraichean 
aig an Nationaal Cyber Security Centrum (NCSC-NL), a tha a' daingneachadh ann an stòr github an fhiosrachaidh a tha ri fhaighinn mu ùrachaidhean do thoraidhean a tha a' gabhail a-steach PHP.
Tha seo a' leigeil leinn ar n-oidhirpean a chur còmhla co-dhiù aig sgèile Eòrpach, agus dùblachadh obrach no fiosrachaidh a sheachnadh. Bravo agus taing dhaibh! Tha ANSSI a-nis a' toirt iomradh air an stòr seo na rabhadh fhèin, agus a' cur a fhiosrachaidh fhèin a-steach don eòlaire choitcheann.
Stòr Github: https://lnkd.in/eXTxysrt
Stòran LinkedIn
- Pròifil: Pierre Jean Duvivier dit Sage (LinkedIn)
- Ùghdar co-roinnte: Vincent Strubel (LinkedIn)
Noch am post ⚠️ PHP2Shell: bi air do chrann-aireachd ro chrithean-fuigheill an toiseach air les plumes qui mordent.
Ceistean Bitheanta
Ceistean Bitheanta PHP2Shell Bi air do chrann-aireachd ro chrithean-fuigheill
C Dè a th' ann an PHP2Shell
F 'S e ainm a th' ann airson seòrsa ionnsaigh far am bi lochd ann an còd PHP a' leigeil le neach-ionnsaigh na h-òrdughan aca fhèin a ruith air an fhrithealaiche agad gu tric dìreach às dèidh so-leòntachd co-cheangailte a bhith air a chàradh 'S e crithean-fuigheill ionnsaighean leantainneach a bhuaileas mus tèid no às dèidh don chiad fhear a bhith air a phasgadh
C Dè a tha crithean-fuigheill a' ciallachadh an seo
F 'S e meatafor à crithean-talmhainn a th' ann Às dèidh aon bhuairt bidh luchd-ionnsaigh a' cumail orra a' lorg thuill a dh'fhalbh faidhlichean a chaidh a chall no pìosan lag Bidh na buillean leantainneach sin nan crithean-fuigheill agus faodaidh iad a bhith cho millteach
C An e CVE sònraichte no fìor thoradh a th' ann an PHP2Shell
F Chan e 'S e bileag tuairisgeil a th' ann chan e aon ID so-leòntachd no inneal Dèilig ris mar phàtran rabhaidh lochd PHP a dh'adhbhraicheas coileanadh slige a bharrachd air na h-ionnsaighean leantainneach
C Ciamar a thèid neach-ionnsaigh bho PHP gu slige
F Mar as trice tro làimhseachadh cuir-a-steach mì-shàbhailte mar eisimpleir a' cur cuir-a-steach luchd-cleachdaidh gu system exec shellexec popen no backticks no tro luchdachadh-faidhle includerequire le slighean fo smachd luchd-cleachdaidh no bugaichean dì-sreathachaidh Aon uair 's gun ruith còd faodaidh iad slige a chruthachadh
C Carson a bu chòir dhomh dragh a ghabhail ma chuir mi am prìomh bhiog air a phasgadh mu thràth
F Leis gu bheil crithean-fuigheill ag amas air na dh'fhàg thu copaidhean gun phasgadh faidhlichean cùl-taic puingean-deireadh dì-bhugaidh còd tasgaidh no seirbheisean eile a tha a' roinn na h-aon theisteanasan Chan eil pasgadh glan a' cur às don mhilleadh a chaidh a dhèanamh mu thràth
C Dè na comharran-rabhaidh cumanta air ionnsaigh
F Ceanglaichean a-mach ris nach robh dùil faidhlichean ùra no atharraichte ann an eòlairean lìn obraichean cron neònach luchd-cleachdaidh no iuchraichean SSH aineolach pròiseasan neo-àbhaisteach agus àrdachaidhean ann an logaichean mearachd no 500an
C Ciamar a nì mi sgrùdadh a bheil an aplacaid agam so-leònte
F Lorg sa chòd agad airson gnìomhan cunnartach agus faic a bheil gin dhiubh a' gabhail cuir-a-steach luchd-cleachdaidh Cuideachd thoir sùil air luchdachadh-faidhle slighean include agus gairmean unserialize Ruith inneal mion-sgrùdaidh statach agus eisimeileachd
