Redistribuire — conținut de la Vincent Strubel
PHP2Shell: atenție la replici
Publicarea oarecum haotică a vulnerabilităților critice din PHP săptămâna trecută a dat naștere unei mobilizări remarcabile, la scară globală, pentru aplicarea urgentă a patch-urilor pe un număr incredibil de site-uri web. Ne putem bucura de acest lucru.
Dar nu ar trebui să credem prea repede că problema este rezolvată: riscul se mută de la site-urile web la multitudinea de produse terțe care încorporează versiuni de PHP (aleatoriu într-o interfață de administrare web): routere, firewall-uri, controlere industriale, obiecte conectate în sens larg… Și acestea trebuie actualizate.
O resursă utilă pentru a evita înecul în complexitatea subiectului: inițiativa omologilor noștri 
de la Nationaal Cyber Security Centrum (NCSC-NL), care consolidează într-un repository github informațiile disponibile despre actualizările produselor care încorporează PHP.
Aceasta ne permite să ne combinăm eforturile cel puțin la scară europeană și să evităm duplicarea muncii sau a informațiilor. Bravo și mulțumiri lor! ANSSI referențiază acum acest repository în propria alertă și își injectează propriile informații în directorul comun.
Repository Github: https://lnkd.in/eXTxysrt
Surse LinkedIn
- Profil: Pierre Jean Duvivier dit Sage (LinkedIn)
- Autor distribuit: Vincent Strubel (LinkedIn)
Postarea ⚠️ PHP2Shell: atenție la replici a apărut prima dată pe les plumes qui mordent.
Întrebări frecvente
Întrebări frecvente PHP2Shell Atenție la replici
Î Ce este PHP2Shell
R Este o denumire pentru un tip de atac în care o vulnerabilitate în codul PHP permite unui atacator să ruleze propriile comenzi pe serverul tău, adesea imediat după ce o vulnerabilitate related a fost remediată. Replicile sunt atacuri ulterioare care lovesc înainte sau după ce primul este patch-uit
Î Ce înseamnă replici aici
R Este o metaforă din cutremure. După un exploit, atacatorii continuă să sondeze pentru găuri rămase, fișiere ratate sau patch-uri slabe. Acele lovituri ulterioare sunt replicile — și pot fi la fel de dăunătoare
Î Este PHP2Shell un CVE specific sau un produs real
R Nu. Este o etichetă descriptivă, nu un ID de vulnerabilitate unic sau un instrument. Trateaz-o ca pe un model de avertizare: o vulnerabilitate PHP care duce la execuție de shell plus atacurile ulterioare
Î Cum trece un atacator de la PHP la un shell
R De obicei prin gestionarea nesigură a inputului — de exemplu transmiterea inputului utilizatorului către system exec shellexec popen sau backticks — sau prin upload-uri de fișiere includere require cu căi controlate de utilizator sau bug-uri de deserializare. Odată ce codul rulează, pot genera un shell
Î De ce ar trebui să-mi pese dacă am patch-uit deja bug-ul principal
R Pentru că replicile vizează ceea ce ai ratat: copii nepatch-uite, fișiere de backup, endpoint-uri de debug, cod cache-uit sau alte servicii care partajează aceleași credențiale. Un patch curat nu anulează daunele deja produse
Î Care sunt semnele comune de avertizare ale unui atac
R Conexiuni de ieșire neașteptate, fișiere noi sau modificate în directoarele web, sarcini cron ciudate, utilizatori sau chei SSH necunoscute, procese neobișnuite și vârfuri în log-urile de erori sau 500-uri
Î Cum verific dacă aplicația mea este vulnerabilă
R Caută în codul tău funcții periculoase și vezi dacă vreuna preia input de la utilizator. De asemenea, verifică upload-urile de fișiere, căile include și apelurile unserialize. Rulează un instrument de analiză statică și o dependență
