পিএইচপি প্রজেক্টের গিট রিপোজিটরি এবং ইউজার বেসের সমঝোতার বিষয়ে রিপোর্ট করুন

একটি বিশেষভাবে ডিজাইন করা ব্যবহারকারী এজেন্ট শিরোনাম সহ একটি অনুরোধ পাঠানোর সময় একটি ব্যাকডোর সক্রিয় সহ একটি পিএইচপি প্রকল্পের গিট রিপোজিটরিতে দুটি দূষিত কমিট সনাক্তকরণের সাথে সম্পর্কিত একটি ঘটনার বিশ্লেষণের প্রথম ফলাফল প্রকাশিত হয়েছে৷ আক্রমণকারীদের কার্যকলাপের চিহ্নগুলি অধ্যয়ন করার সময়, এটি উপসংহারে পৌঁছেছিল যে git.php.net সার্ভারটি নিজেই, যেখানে গিট সংগ্রহস্থলটি অবস্থিত ছিল, হ্যাক করা হয়নি, তবে প্রকল্প বিকাশকারীদের অ্যাকাউন্টগুলির সাথে ডাটাবেসটি আপস করা হয়েছিল। .

এটা সম্ভব যে আক্রমণকারীরা master.php.net সার্ভারে DBMS-এ সংরক্ষিত ব্যবহারকারী ডাটাবেস ডাউনলোড করতে সক্ষম হয়েছিল। master.php.net এর বিষয়বস্তু ইতিমধ্যেই স্ক্র্যাচ থেকে ইনস্টল করা নতুন main.php.net সার্ভারে স্থানান্তরিত হয়েছে৷ php.net পরিকাঠামো অ্যাক্সেস করতে ব্যবহৃত সমস্ত ডেভেলপার পাসওয়ার্ড পুনরায় সেট করা হয়েছে এবং একটি বিশেষ পাসওয়ার্ড পুনরুদ্ধার ফর্মের মাধ্যমে সেগুলি পরিবর্তন করার প্রক্রিয়া শুরু করা হয়েছে। git.php.net এবং svn.php.net সংগ্রহস্থলগুলি শুধুমাত্র পঠনযোগ্য (উন্নয়নটি GitHub-এ সরানো হয়েছে)।

পিএইচপি-র প্রতিষ্ঠাতা রাসমাস লারডর্ফের অ্যাকাউন্টের মাধ্যমে প্রথম দূষিত প্রতিশ্রুতি আবিষ্কার করার পরে, ধারণা করা হয়েছিল যে তার অ্যাকাউন্ট হ্যাক করা হয়েছে এবং নিকিতা পপভ, অন্যতম প্রধান পিএইচপি বিকাশকারী, পরিবর্তনগুলি ফিরিয়ে নিয়েছিলেন এবং প্রতিশ্রুতির অধিকারগুলি অবরুদ্ধ করেছিলেন। সমস্যাযুক্ত অ্যাকাউন্ট। কিছু সময় পরে, উপলব্ধি হল যে ব্লক করার অর্থ নেই, যেহেতু ডিজিটাল স্বাক্ষর ব্যবহার করে প্রতিশ্রুতি যাচাই না করে, php-src সংগ্রহস্থলে অ্যাক্সেস সহ যে কোনও অংশগ্রহণকারী একটি কাল্পনিক লেখকের নাম প্রতিস্থাপন করে পরিবর্তন করতে পারে।

এরপরে, আক্রমণকারীরা নিকিতার পক্ষে একটি বিদ্বেষপূর্ণ প্রতিশ্রুতি পাঠিয়েছিল। রিপোজিটরিগুলিতে অ্যাক্সেস সংগঠিত করতে ব্যবহৃত গিটোলাইট পরিষেবার লগগুলি বিশ্লেষণ করে, অংশগ্রহণকারীকে নির্ধারণ করার চেষ্টা করা হয়েছিল যে আসলে পরিবর্তনগুলি করেছে। সমস্ত কমিটের জন্য অ্যাকাউন্টিং অন্তর্ভুক্ত করা সত্ত্বেও, দুটি দূষিত পরিবর্তনের জন্য লগে কোনও এন্ট্রি ছিল না। এটা স্পষ্ট হয়ে গেল যে পরিকাঠামোর একটি আপস ছিল, যেহেতু কমিটগুলি সরাসরি যোগ করা হয়েছিল, গিটোলাইটের মাধ্যমে সংযোগকে বাইপাস করে।

git.php.net সার্ভারটি অবিলম্বে অক্ষম করা হয়েছিল, এবং প্রাথমিক সংগ্রহস্থলটি GitHub-এ স্থানান্তরিত হয়েছিল। তাড়াহুড়ো করে, এটি ভুলে গিয়েছিল যে রিপোজিটরি অ্যাক্সেস করার জন্য, গিটোলাইট ব্যবহার করে এসএসএইচ ছাড়াও, আরেকটি ইনপুট ছিল যা আপনাকে HTTPS এর মাধ্যমে কমিট পাঠাতে দেয়। এই ক্ষেত্রে, গিট-এইচটিটিপি-ব্যাকএন্ডটি গিটের সাথে ইন্টারঅ্যাক্ট করার জন্য ব্যবহার করা হয়েছিল এবং Apache2 HTTP সার্ভার ব্যবহার করে প্রমাণীকরণ করা হয়েছিল, যা master.php.net সার্ভারে DBMS-এ হোস্ট করা ডাটাবেস অ্যাক্সেস করে শংসাপত্রগুলি যাচাই করে। লগইন কেবল কী দিয়েই নয়, নিয়মিত পাসওয়ার্ড দিয়েও অনুমোদিত ছিল। HTTP সার্ভার লগগুলির বিশ্লেষণ নিশ্চিত করেছে যে HTTPS এর মাধ্যমে দূষিত পরিবর্তনগুলি যোগ করা হয়েছে৷

লগগুলি অধ্যয়ন করার সময়, এটি প্রকাশ করা হয়েছিল যে আক্রমণকারীরা প্রথমবার সংযোগ করেনি, তবে প্রাথমিকভাবে অ্যাকাউন্টের নাম খুঁজে বের করার চেষ্টা করেছিল, তবে এটি সনাক্ত করার পরে, তারা প্রথম চেষ্টায় লগ ইন করেছিল, অর্থাৎ। তারা রাসমাস এবং নিকিতার পাসওয়ার্ড আগে থেকেই জানত, কিন্তু তাদের লগইন জানত না। যদি আক্রমণকারীরা DBMS-এ অ্যাক্সেস লাভ করতে সক্ষম হয়, তবে কেন তারা অবিলম্বে সেখানে নির্দিষ্ট করা সঠিক লগইন ব্যবহার করেনি তা স্পষ্ট নয়। এই বৈষম্য এখনও একটি নির্ভরযোগ্য ব্যাখ্যা পায়নি. master.php.net এর হ্যাককে সবচেয়ে সম্ভাবনাময় পরিস্থিতি হিসেবে বিবেচনা করা হয়, যেহেতু এই সার্ভারটি খুব পুরানো কোড এবং একটি পুরানো OS ব্যবহার করেছে, যেটি দীর্ঘদিন ধরে আপডেট করা হয়নি এবং অস্বাভাবিক দুর্বলতা ছিল।

গৃহীত পদক্ষেপগুলির মধ্যে রয়েছে master.php.net সার্ভার পরিবেশের পুনঃস্থাপন এবং PHP 8-এর নতুন সংস্করণে স্ক্রিপ্ট স্থানান্তর। ডিবিএমএস-এর সাথে কাজ করার জন্য কোডটি এসকিউএল কোডের প্রতিস্থাপনকে জটিল করে এমন প্যারামিটারাইজড প্রশ্নগুলি ব্যবহার করার জন্য পরিবর্তন করা হয়েছে। bcrypt অ্যালগরিদম ডাটাবেসে পাসওয়ার্ড হ্যাশ সংরক্ষণ করতে ব্যবহৃত হয় (আগে, একটি অবিশ্বস্ত MD5 হ্যাশ ব্যবহার করে পাসওয়ার্ড সংরক্ষণ করা হত)। বিদ্যমান পাসওয়ার্ডগুলি পুনরায় সেট করা হয়েছে এবং আপনাকে পাসওয়ার্ড পুনরুদ্ধার ফর্মের মাধ্যমে একটি নতুন পাসওয়ার্ড সেট করতে বলা হবে। যেহেতু HTTPS-এর মাধ্যমে git.php.net এবং svn.php.net সংগ্রহস্থলগুলিতে অ্যাক্সেস MD5 হ্যাশের সাথে আবদ্ধ ছিল, তাই এটি শুধুমাত্র-পঠন মোডে git.php.net এবং svn.php.net ছেড়ে দেওয়ার সিদ্ধান্ত নেওয়া হয়েছিল এবং সবগুলিকে সরিয়ে নেওয়ার সিদ্ধান্ত নেওয়া হয়েছিল। বাকিগুলো তাদের কাছে GitHub-এ PECL এক্সটেনশন রিপোজিটরি, মূল পিএইচপি রিপোজিটরির মতো।

উত্স: opennet.ru