162,000 से अधिक वर्डप्रेस साइटें डीडीओएस हमलों के लिए उपयोग की जाती हैं

आज मैं आपको वर्डप्रेस इंजन पर हजारों अलग-अलग साइटों की मदद से प्रबलित एक प्रमुख डीडीओएस हमले के बारे में बताना चाहता हूं।

किसी भी वर्डप्रेस साइट जिसे पिंगबैक सक्षम किया गया है (जो, डिफ़ॉल्ट रूप से सक्षम है) का उपयोग अन्य साइटों पर डीडीओएस हमले में किया जा सकता है [लेख के अंत में, पहले से ही ज्ञात हमलों में भागीदारी के लिए आपकी साइट की जांच करने के लिए एक ऑनलाइन सेवा का लिंक लगभग है। अनुवादक]।

ध्यान दें कि XMLRPC का उपयोग पिंगबैक, ट्रैकबैक, मोबाइल उपकरणों से रिमोट एक्सेस और बहुत कुछ करने के लिए किया जाता है, जिसे आप सबसे अधिक संभावना से इंकार नहीं करना चाहेंगे। लेकिन जैसा कि हम देखेंगे, इसका उपयोग न केवल अच्छे उद्देश्यों के लिए किया जा सकता है।

कहानी

यह कहानी एक लोकप्रिय वर्डप्रेस साइट पर हुई जो कई घंटे के डीडीओएस हमले के कारण ऑफ़लाइन हो गई। जब हमला तेज हो गया, तो होस्टर ने अपनी साइट बंद कर दी, और उन्होंने हमसे मदद के लिए संपर्क करने का फैसला किया।

DNS स्थानांतरित होने के बाद, हमने अंत में देखा कि क्या हो रहा था: यह एक शक्तिशाली वितरित HTTP-बाढ़ परत 7 हमला था, जो अपने सर्वर पर प्रति सेकंड सैकड़ों अनुरोधों को निष्पादित कर रहा था। तो ये प्रश्न देखे गए:

74.86.132.186 - - [09/Mar/2014:11:05:27 -0400] "GET /?4137049=6431829 HTTP/1.0" 403 0 "-" "WordPress/3.8; http://www.mtbgearreview.com" 121.127.254.2 - - [09/Mar/2014:11:05:27 -0400] "GET /?4758117=5073922 HTTP/1.0" 403 0 "-" "WordPress/3.4.2; http://www.kschunvmo.com" 217.160.253.21 - - [09/Mar/2014:11:05:27 -0400] "GET /?7190851=6824134 HTTP/1.0" 403 0 "-" "WordPress/3.8.1; http://www.intoxzone.fr" 193.197.34.216 - - [09/Mar/2014:11:05:27 -0400] "GET /?3162504=9747583 HTTP/1.0" 403 0 "-" "WordPress/2.9.2; http://www.verwaltungmodern.de" .. 

आपने देखा होगा कि सभी अनुरोधों में एक यादृच्छिक पैरामीटर होता है ("; 4137049 = 643182" और अन्य), जिसके कारण अनुरोध कैश को बायपास करते हैं और हर बार एक पूर्ण पृष्ठ पुनः लोड करने की आवश्यकता होती है। यह सब बहुत जल्दी सर्वर को मारता है।

लेकिन सबसे दिलचस्प बात यह है कि अनुरोध अन्य अचूक वर्डप्रेस साइटों से आते हैं। हां, अन्य वर्डप्रेस साइटें यादृच्छिक पैरामीटर के साथ बहुत सारे अनुरोध भेजती हैं और पीड़ित को ऑफ़लाइन ले जाती हैं।

डिफ़ॉल्ट असुरक्षित विकल्प = बहुत बड़ा बॉटनेट

कुछ ही घंटों में, 162,000 से अधिक साधारण वर्डप्रेस साइटों ने उनकी परियोजना पर हमला किया। सबसे अधिक संभावना है, अधिक साइटों की खोज की जाएगी, लेकिन हमने फैसला किया कि हमने पर्याप्त रूप से देखा और अपने फ़ायरवॉल पर इन अनुरोधों को अवरुद्ध किया, मुख्य रूप से लॉग को रोकना नहीं था।

एक हमलावर डीडीओएस हमलों के लिए हजारों लोकप्रिय गैर-हैक किए गए वर्डप्रेस साइटों का उपयोग कर सकता है, और एक ही समय में छाया में रह सकता है, और यह सब XML-RPC फ़ाइल के लिए एक साधारण पिंगबैक अनुरोध के लिए संभव है:

 $ curl -D - "www.anywordpresssite.com/xmlrpc.php" -d '<methodCall><methodName>pingback.ping</methodName><params><param><value><string>http://victim.com</string></value></param><param><value><string>www.anywordpresssite.com/postchosen</string></value></param></params></methodCall>' 

हां, एक साधारण लिनक्स कमांड एक हमला शुरू कर सकता है।

क्या आपकी साइट अभी किसी पर हमला कर रही है?

यह अच्छी तरह से हो सकता है, और आपको इसके बारे में कोई सुराग नहीं है। यह सुनिश्चित करने के लिए, XML-RPC फ़ाइल के लिए POST अनुरोध के लिए साइट के लॉग देखें (ऊपर देखें)। यदि आप एक यादृच्छिक URL के लिए एक पिंगबैक अनुरोध देखते हैं, तो आप महसूस करेंगे कि आपकी साइट पहले से ही हमले के लिए उपयोग की जा रही है।

 93.174.93.72 - - [09/Mar/2014:20:11:34 -0400] "POST /xmlrpc.php HTTP/1.0" 403 4034 "-" "-" "POSTREQUEST:<?xml version=\x221.0\x22 encoding=\x22iso-8859-1\x22?>\x0A<methodCall>\x0A<methodName>pingback.ping</methodName>\x0A<params>\x0A <param>\x0A <value>\x0A <string>http://fastbet99.com/?1698491=8940641</string>\x0A </value>\x0A </param>\x0A <param>\x0A <value>\x0A <string>yoursite.com</string>\x0A </value>\x0A </param>\x0A</params>\x0A</methodCall>\x0A" 94.102.63.238 – - [09/Mar/2014:23:21:01 -0400] "POST /xmlrpc.php HTTP/1.0" 403 4034 "-" "-" "POSTREQUEST:\x0A\x0Apingback.ping\x0A\x0A \x0A \x0A http://www.guttercleanerlondon.co.uk/?7964015=3863899\x0A \x0A \x0A \x0A \x0A yoursite.com\x0A \x0A \x0A\x0A\x0A" 

उदाहरण के लिए, इस मामले में, किसी ने DDOS fastbet99.com और guttercleanerlondon.co.uk के लिए हमारी ट्रैप साइट का उपयोग करने की कोशिश की।

अपनी साइट को हमलों में उपयोग करने से रोकने के लिए, आपको XML-RPC पिंगबैक कार्यक्षमता को अक्षम करना होगा। सबसे अच्छा तरीका है कि निम्नलिखित सामग्री के साथ एक प्लग इन करें:

 add_filter( 'xmlrpc_methods', function( $methods ) { unset( $methods['pingback.ping'] ); return $methods; } ); 

भेद्यता के लिए अपनी साइट की जांच करने के लिए ऑनलाइन सेवा

चूंकि यह एक बहुत ही आम समस्या है, इसलिए हमने एक छोटा सा स्कैनर लिखा है जो यह जांच करेगा कि क्या आपकी साइट उन हमलों में भाग लेती है जो हम जानते हैं: वर्डप्रेस डीडीओएस व्यूअर