Die ersten Ergebnisse der Untersuchung des Vorfalls, der mit der Entdeckung zweier b\u00f6sartiger Commits mit einem Backdoor im Git-Repository des PHP-Projekts verbunden ist, wurden ver\u00f6ffentlicht. Bei der Analyse der Spuren der Angreifer wurde festgestellt, dass der Server git.php.net, auf dem das Git-Repository gehostet wurde, nicht gehackt wurde, jedoch die Datenbank mit den Konten der Entwickler des Projekts kompromittiert wurde. <\/p>\n
Es wird nicht ausgeschlossen, dass die Angreifer in der Lage waren, die Benutzerdatenbank, die in der Datenbank des Servers master.php.net gespeichert war, herunterzuladen. Der Inhalt von master.php.net wurde bereits auf den neuen Server main.php.net \u00fcbertragen, der von Grund auf neu eingerichtet wurde. Alle Passw\u00f6rter der Entwickler, die f\u00fcr den Zugang zur Infrastruktur von php.net verwendet wurden, wurden zur\u00fcckgesetzt, und der Prozess zur \u00c4nderung dieser Passw\u00f6rter wurde \u00fcber ein spezielles Formular zur Passwortwiederherstellung initiiert. Die Repositories git.php.net und svn.php.net bleiben im Nur-Lese-Modus verf\u00fcgbar (die Entwicklung wurde auf GitHub verlegt). <\/p>\n
Nach der Entdeckung des ersten b\u00f6sartigen Commits, der \u00fcber das Konto von Rasmus Lerdorf, dem Gr\u00fcnder von PHP, gemacht wurde, wurde die Vermutung ge\u00e4u\u00dfert, dass sein Konto gehackt wurde und Nikita Popov, einer der Hauptentwickler von PHP, die \u00c4nderungen zur\u00fcckgesetzt und die Commits f\u00fcr das problematische Konto blockiert hat. Nach einiger Zeit wurde jedoch klar, dass die Blockade keinen Sinn machte, da ohne die Verifizierung der Commits durch digitale Signatur jeder Teilnehmer mit Zugang zum Repository php-src \u00c4nderungen vornehmen konnte, indem er einen fiktiven Namen des Autors verwendete. <\/p>\n
Anschlie\u00dfend sendeten die Angreifer einen b\u00f6sartigen Commit im Namen von Nikita selbst. Durch die Analyse der Protokolle des Dienstes gitolite, der f\u00fcr den Zugriff auf die Repositories verwendet wird, wurde versucht zu ermitteln, welcher Teilnehmer tats\u00e4chlich die \u00c4nderungen vorgenommen hat. Trotz der Aktivierung der Protokollierung aller Commits gab es f\u00fcr die beiden b\u00f6sartigen \u00c4nderungen keine Eintr\u00e4ge im Protokoll. Es wurde klar, dass eine Kompromittierung der Infrastruktur stattgefunden hatte, da die Commits direkt, unter Umgehung der Verbindung \u00fcber gitolite, hinzugef\u00fcgt wurden. <\/p>\n
Der Server git.php.net wurde sofort abgeschaltet und das urspr\u00fcngliche Repository auf GitHub migriert. In der Eile wurde \u00fcbersehen, dass es neben SSH mit der Verwendung von gitolite noch einen anderen Zugang gab, der das Senden von Commits \u00fcber HTTPS erm\u00f6glichte. In diesem Fall wurde das Backend git-http-backend f\u00fcr die Interaktion mit Git genutzt, und die Authentifizierung erfolgte \u00fcber den HTTP-Server Apache2, der die Berechtigungen durch einen Zugriff auf die in der Datenbank gespeicherten Informationen \u00fcberpr\u00fcfte. Server<\/a> Der Zugriff war nicht nur \u00fcber Schl\u00fcssel, sondern auch \u00fcber ein normales Passwort m\u00f6glich. Die Analyse der Logs des HTTP-Servers best\u00e4tigte, dass die sch\u00e4dlichen \u00c4nderungen \u00fcber HTTPS hinzugef\u00fcgt wurden. <\/p>\n Bei der Analyse der Logs wurde festgestellt, dass die Angreifer nicht beim ersten Versuch verbunden waren, sondern zun\u00e4chst versuchten, den Benutzernamen zu erraten. Nachdem sie den Namen herausgefunden hatten, konnten sie sich beim ersten Versuch anmelden, d.h. sie kannten im Voraus die Passw\u00f6rter von Rasmus und Nikita, wussten aber nicht ihre Benutzernamen. Wenn die Angreifer Zugriff auf die Datenbank erhielten, bleibt unklar, warum sie sofort nicht den dort angegebenen korrekten Benutzernamen verwendet haben. Diese Inkonsistenz hat bisher keine verl\u00e4ssliche Erkl\u00e4rung gefunden. Der Hack von master.php.net wird als das wahrscheinlichste Szenario betrachtet, da auf diesem Server<\/a> sehr alter Code und ein veraltetes Betriebssystem verwendet wurde, die schon lange nicht mehr aktualisiert wurden und unbehobene Schwachstellen aufwiesen. <\/p>\n Zu den ergriffenen Ma\u00dfnahmen geh\u00f6rt die Neuinstallation der Serverumgebung von master.php.net und die \u00dcbertragung der Skripte auf die neue PHP-Version 8. Der Code zur Arbeit mit der Datenbank wurde so umgestaltet, dass parametrische Abfragen verwendet werden, die die Einspeisung von SQL-Code erschweren. Zum Speichern von Passwort-Hashes in der Datenbank wurde der Algorithmus bcrypt verwendet (fr\u00fcher wurden Passw\u00f6rter mit dem unsicheren MD5-Hash gespeichert). Die bestehenden Passw\u00f6rter wurden zur\u00fcckgesetzt und es wurde angeboten, ein neues Passwort \u00fcber das Passwort-Wiederherstellungsformular festzulegen. Da der Zugriff auf die Repositories git.php.net und svn.php.net \u00fcber HTTPS an MD5-Hashes gebunden war, wurde beschlossen, git.php.net und svn.php.net im Nur-Lese-Modus zu belassen und alle verbleibenden PECL-Erweiterungsrepositories auf GitHub zu \u00fcbertragen, \u00e4hnlich wie das Hauptrepository von PHP. \u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u043f\u0435\u0440\u0432\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0432 Git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 PHP \u0434\u0432\u0443\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043c\u0438\u0442\u043e\u0432 \u0441 \u0431\u044d\u043a\u0434\u043e\u0440\u043e\u043c, \u0430\u043a\u0442\u0438\u0432\u0438\u0440\u0443\u0435\u043c\u044b\u043c \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c User Agent. \u0412 \u0445\u043e\u0434\u0435 \u0438\u0437\u0443\u0447\u0435\u043d\u0438\u044f \u0441\u043b\u0435\u0434\u043e\u0432 \u0434\u0435\u044f\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 \u0431\u044b\u043b \u0441\u0434\u0435\u043b\u0430\u043d \u0432\u044b\u0432\u043e\u0434, \u0447\u0442\u043e \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0441\u0435\u0440\u0432\u0435\u0440 git.php.net, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0431\u044b\u043b \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0439 \u043d\u0435 \u0431\u044b\u043b \u0432\u0437\u043b\u043e\u043c\u0430\u043d, \u043d\u043e \u0431\u044b\u043b\u0430 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0431\u0430\u0437\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 \u0443\u0447\u0451\u0442\u043d\u044b\u043c\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-99679","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bericht \u00fcber die Kompromittierung des Git-Repositories und der Benutzerdatenbank des PHP-Projekts | ProHoster","description":"Die ersten Ergebnisse der Analyse des Vorfalls, der mit der Entdeckung von zwei sch\u00e4dlichen Commits mit einem Backdoor im Git-Repository des PHP-Projekts verbunden ist, wurden ver\u00f6ffentlicht. Diese Backdoor wird aktiviert, wenn eine Anfrage mit einem speziell gestalteten Header gesendet wird.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0442\u0447\u0451\u0442 \u043e \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f \u0438 \u0431\u0430\u0437\u044b \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 PHP | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u043f\u0435\u0440\u0432\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0432 Git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 PHP \u0434\u0432\u0443\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043c\u0438\u0442\u043e\u0432 \u0441 \u0431\u044d\u043a\u0434\u043e\u0440\u043e\u043c, \u0430\u043a\u0442\u0438\u0432\u0438\u0440\u0443\u0435\u043c\u044b\u043c \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-04-07T08:22:44+00:00","article:modified_time":"2021-04-07T08:22:44+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"99679","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-04-07 09:53:42","updated":"2026-02-09 21:39:38","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/99679","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=99679"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/99679\/revisions"}],"predecessor-version":[{"id":159941,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/99679\/revisions\/159941"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=99679"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=99679"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=99679"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"