बाक्स के बाहर के पुर्ज़े लगाना कितना हानिकारक हो सकता है, इसकी कहानी है

दिन अन्य सभी अगोचर दिनों की तरह शुरू हुआ। काम पर आने और एक चीनी कॉफी मशीन से एक कप कैप्पुकिनो पीने के बाद, वह ऊन साइटों पर बैठ गया। उनमें से एक में चलाने के बाद, लंबे समय तक स्रोत कोड का अध्ययन करने के बाद, मैं जाने-माने WYSIWYG संपादक - FCK की मार्कअप विशेषता के साथ आया। जिस किसी को भी इस तरह के संपादकों की समस्याओं का सामना करना पड़ा है, वह शायद उसे अच्छी तरह से जानता है।

वास्तव में उत्पाद ही साइट प्रशासकों के लिए किसी भी तरह से दिलचस्प और उपयोगी नहीं है, जैसा कि आपको साइट पर पृष्ठों को नेत्रहीन रूप से संपादित करने की अनुमति देता है। लेकिन उन्होंने मुझे इस दृष्टिकोण से दिलचस्पी दिखाई - सीएमएस में इसका कार्यान्वयन कितना सुरक्षित है, विशेष रूप से इस तथ्य के कारण कि इसमें साइटों पर यूपीएलओएडीयू चित्रों के लिए कार्यक्षमता का एक सेट है।

और लो और निहारना, नीले रंग से बाहर सीएमएस डेवलपर्स ने एक ही बार में कई महत्वपूर्ण गलतियां कीं, तुरंत साइट पर स्रोत कोड निष्पादन तक पहुंच प्रदान की!

तो उन्होंने क्या किया है?


1. बॉक्स से उत्पाद को स्थापित करना, कॉन्फ़िगरेशन में 2 मान सेट करना, उन्होंने माना कि उत्पाद उपयोग के लिए तैयार है, इस तथ्य पर बिल्कुल ध्यान नहीं दे रहा है कि उत्पाद छेद के उदाहरणों के एक समृद्ध सेट के साथ आता है। इसलिए, उदाहरण के लिए, एक डाउनलोड स्क्रिप्ट एक बहुत ही अनुमानित पते /fckeditor/editor/filemanager/connectors/php/upload.php और यहां तक ​​कि इससे जुड़ी एक परीक्षण किट पर उपलब्ध थी, जो मानक किट में आती है

2. एक स्क्रिप्ट है - इसका मतलब है कि यह काम करता है! हम थोड़ी जांच और वॉयला करते हैं - चित्र एक विदेशी होस्ट पर है। हैकिंग? ऐसा नहीं लगता है, लेकिन यह लक्ष्य के करीब एक कदम है। हम PHP और एक बुमेर अपलोड करने की कोशिश करते हैं ... स्क्रिप्ट शपथ लेता है कि यह एक अनसुलझे प्रकार की सामग्री है।

3. हम Google को शुरू करते हैं और भेद्यता का दोहन करने के तरीके के बारे में लेखों की एक जोड़ी पाते हैं ... पहली पोस्ट अप्रत्यक्ष रूप से हमें .htaccess फ़ाइल अपलोड करने के विचार पर ले जाती है, उदाहरण के लिए प्रोसेसिंग नियमों के साथ .gif फाइल जैसे php5। हम कोशिश करते हैं - उफ़ ... फिर से विफलता - फिर से एक अनसुलझे प्रकार की सामग्री। हम आगे सोचने के लिए कॉफी के लिए जाते हैं

4. जल्दी से हम इस तथ्य के बारे में एक लेख नोटिस करते हैं कि एफसीकेडिटर में कथित रूप से किसी प्रकार की बग थी, जो एक फ़ाइल को एक मनमानी निर्देशिका में अपलोड करने की अनुमति देता है। हम खुदाई करना शुरू करते हैं और कई और लेख ढूंढते हैं जो php.txt एक्सटेंशन के साथ फाइल अपलोड करने के लिए उबलते हैं और स्रोत निर्देशिका के रूप में अंत में शून्य बाइट के साथ निर्देशिका निर्दिष्ट करते हैं, इससे सत्यापन फ़ंक्शन के दस्त का कारण होगा, जिसके कारण यह एक्सटेंशन खा जाएगा। हमारे घुटनों और लो और निहारना पर डाल - यह वास्तव में है!

परिणाम एक लाभ है! हम आसानी से .php फ़ाइलों को होस्ट पर अपलोड कर सकते हैं और उन्हें निष्पादित कर सकते हैं! जोखिम? बल्कि, एक छेद!

बेशक, मैं जानबूझकर यहां साइटों की सूची और कमजोर सीएमएस का नाम नहीं लाता हूं। एक तर्क के रूप में, मैं कहूंगा कि यह संकीर्ण सर्कल में बहुत लोकप्रिय है। एक तथ्य के रूप में, इस सीएमएस पर कई साइटें छिद्रों से भरी हुई थीं। मैंने उनमें से कई को भेद्यता के बारे में जानकारी के साथ पत्र भेजे, लेकिन जैसा कि अभ्यास से पता चलता है, कम से कम 10 प्रतिशत पढ़े और एक प्रतिशत इस समस्या का ध्यान रखें।

तो मैं किस बारे में बात कर रहा हूं - कभी नहीं, कभी नहीं, और फिर, कभी भी "fleas" की उपस्थिति के लिए जांच किए बिना एक घटक वितरण न करें। किसी भी डेटा को अपलोड करते समय, सुनिश्चित करें कि यह एक निर्देशिका में जाता है जिसमें वेब सर्वर इसे निष्पादित नहीं करेगा (अपाचे में, यह इनहाट्स में अक्षम है)। यह यह घटक है जो भविष्य में हमलावर के लिए सामने के दरवाजे के रूप में काम कर सकता है।

पीआर के प्रयोजनों के लिए, मैं इस तथ्य पर ध्यान आकर्षित करता हूं कि Habr (https://docs.google.com/document/d/1sbDhyX8Reu8vgHHyltXH6dQYz4lQV7Lmw2ryjsX0/itit/0itit) से सम्मानित सहयोगियों की भागीदारी के साथ विकसित मानक का एक प्रोटोटाइप है। लेकिन हमारी वास्तविकताएं ऐसी हैं कि जब तक गड़गड़ाहट नहीं होती, तब तक आलू अंकुरित नहीं होगा :)