Dela igen — innehåll från Vincent Strubel
PHP2Shell: se upp för efterskalv
Den något kaotiska publiceringen av kritiska sårbarheter i PHP förra veckan ledde till en anmärkningsvärd mobilisering, på global skala, för att akut applicera patcharna på ett otroligt antal webbplatser. Det kan vi vara glada över.
Men vi bör inte alltför snabbt tro att problemet är löst: risken förskjuts från webbplatser till myriaden av tredjepartsprodukter som bäddar in versioner av PHP (lite hur som helst i ett webbadministrationsgränssnitt): routrar, brandväggar, industriella styrenheter, uppkopplade objekt i vid bemärkelse… Även de måste uppdateras.
En användbar resurs för att undvika att drunkna i ämnets komplexitet: initiativet från våra motsvarigheter 
på Nationaal Cyber Security Centrum (NCSC-NL), som i ett github-förråd sammanställer tillgänglig information om uppdateringar av produkter som bäddar in PHP.
Det gör att vi åtminstone på europeisk skala kan samla våra ansträngningar och undvika dubbelarbete eller dubbel information. Bravo och tack till dem! ANSSI refererar nu till detta förråd i sin egen varning och injicerar sin egen information i den gemensamma katalogen.
Github-förråd: https://lnkd.in/eXTxysrt
LinkedIn-källor
- Profil: Pierre Jean Duvivier dit Sage (LinkedIn)
- Delad författare: Vincent Strubel (LinkedIn)
Inlägget ⚠️ PHP2Shell: se upp för efterskalv dök först upp på les plumes qui mordent.
Vanliga frågor
Vanliga frågor PHP2Shell Se upp för efterskalv
F Vad är PHP2Shell
S Det är ett namn för en typ av attack där en brist i PHP-kod låter en angripare köra sina egna kommandon på din server ofta direkt efter att en relaterad sårbarhet har åtgärdats Efterskalven är uppföljningsattacker som slår till före eller efter att den första har patchats
F Vad betyder efterskalv här
S Det är en metafor från jordbävningar Efter en exploit fortsätter angripare att söka efter kvarvarande hål missade filer eller svaga patchar Dessa uppföljningsträffar är efterskalven och de kan vara precis lika skadliga
F Är PHP2Shell en specifik CVE eller en riktig produkt
S Nej Det är en beskrivande beteckning inte ett enskilt sårbarhets-ID eller verktyg Se det som ett varningsmönster en PHP-brist som leder till skalkörning plus uppföljningsattackerna
F Hur går en angripare från PHP till ett skal
S Vanligtvis genom osäker indatahantering till exempel att skicka användarindata till system exec shellexec popen eller backticks eller genom filuppladdningar includerequire med användarkontrollerade sökvägar eller deserialiseringsbuggar När koden väl körs kan de starta ett skal
F Varför ska jag bry mig om jag redan har patchat huvudbuggen
S Eftersom efterskalven riktar in sig på det du missade opatchade kopior backupfiler debuggändpunkter cachad kod eller andra tjänster som delar samma autentiseringsuppgifter En ren patch ångrar inte skada som redan skett
F Vilka är vanliga varningstecken på en attack
S Oväntade utgående anslutningar nya eller ändrade filer i webbkataloger underliga cron-jobb okända användare eller SSH-nycklar ovanliga processer och toppar i felloggar eller 500-fel
F Hur kontrollerar jag om min app är sårbar
S Sök i din kod efter farliga funktioner och se om någon tar användarindata Kontrollera också filuppladdningar include-sökvägar och unserialize-anrop Kör ett statiskt analysverktyg och ett beroende
