PHP પ્રોજેક્ટના ગિટ રિપોઝીટરી અને યુઝર બેઝના સમાધાન અંગેની જાણ કરો

PHP પ્રોજેક્ટના ગિટ રિપોઝીટરીમાં બે દૂષિત કમિટ્સની ઓળખ સાથે સંબંધિત ઘટનાના વિશ્લેષણના પ્રથમ પરિણામો પ્રકાશિત કરવામાં આવ્યા છે જ્યારે ખાસ ડિઝાઇન કરાયેલ વપરાશકર્તા એજન્ટ હેડર સાથે વિનંતી મોકલતી વખતે બેકડોર સક્રિય થાય છે. હુમલાખોરોની પ્રવૃત્તિઓના નિશાનના અભ્યાસ દરમિયાન, એવું તારણ કાઢવામાં આવ્યું હતું કે git.php.net સર્વર પોતે, જેના પર git રીપોઝીટરી સ્થિત છે, તે હેક કરવામાં આવ્યું ન હતું, પરંતુ પ્રોજેક્ટ ડેવલપર્સના એકાઉન્ટ્સ સાથેના ડેટાબેઝ સાથે ચેડા કરવામાં આવ્યા હતા. .

શક્ય છે કે હુમલાખોરો master.php.net સર્વર પર DBMS માં સંગ્રહિત વપરાશકર્તા ડેટાબેઝ ડાઉનલોડ કરવામાં સક્ષમ હતા. master.php.net ની સામગ્રીઓ પહેલાથી જ શરૂઆતથી ઇન્સ્ટોલ કરેલા નવા main.php.net સર્વર પર સ્થાનાંતરિત કરવામાં આવી છે. php.net ઈન્ફ્રાસ્ટ્રક્ચરને ઍક્સેસ કરવા માટે ઉપયોગમાં લેવાતા તમામ ડેવલપર પાસવર્ડ્સ રીસેટ કરવામાં આવ્યા હતા અને તેમને બદલવાની પ્રક્રિયા ખાસ પાસવર્ડ પુનઃપ્રાપ્તિ ફોર્મ દ્વારા શરૂ કરવામાં આવી હતી. git.php.net અને svn.php.net રીપોઝીટરીઝ ફક્ત વાંચવા માટે રહે છે (વિકાસને GitHub પર ખસેડવામાં આવ્યો છે).

PHP ના સ્થાપક, રાસ્મસ લેર્ડોર્ફના એકાઉન્ટ દ્વારા કરવામાં આવેલ પ્રથમ દૂષિત કમિટની શોધ પછી, એવું માનવામાં આવતું હતું કે તેમનું એકાઉન્ટ હેક કરવામાં આવ્યું હતું અને મુખ્ય PHP વિકાસકર્તાઓમાંના એક નિકિતા પોપોવ, ફેરફારોને પાછો ખેંચી લીધો અને પ્રતિબદ્ધ અધિકારોને અવરોધિત કર્યા. સમસ્યારૂપ ખાતું. થોડા સમય પછી, અનુભૂતિ થઈ કે અવરોધિત કરવાનો કોઈ અર્થ નથી, કારણ કે ડિજિટલ હસ્તાક્ષરનો ઉપયોગ કરીને કમિટ્સની ચકાસણી કર્યા વિના, php-src રીપોઝીટરીની ઍક્સેસ ધરાવતા કોઈપણ સહભાગી કાલ્પનિક લેખકના નામને બદલીને ફેરફાર કરી શકે છે.

આગળ, હુમલાખોરોએ નિકિતા વતી એક દૂષિત કમિટ મોકલી. રીપોઝીટરીઝની ઍક્સેસ ગોઠવવા માટે ઉપયોગમાં લેવાતી ગીટોલાઇટ સેવાના લોગનું વિશ્લેષણ કરીને, ખરેખર ફેરફારો કરનાર સહભાગીને નક્કી કરવાનો પ્રયાસ કરવામાં આવ્યો હતો. તમામ કમિટ માટે એકાઉન્ટિંગનો સમાવેશ હોવા છતાં, બે દૂષિત ફેરફારો માટે લોગમાં કોઈ એન્ટ્રી નહોતી. તે સ્પષ્ટ થઈ ગયું કે ઈન્ફ્રાસ્ટ્રક્ચરમાં સમાધાન થયું હતું, કારણ કે કમિટ્સ સીધા જ ઉમેરવામાં આવ્યા હતા, ગીટોલાઈટ દ્વારા કનેક્શનને બાયપાસ કરીને.

git.php.net સર્વર તરત જ અક્ષમ કરવામાં આવ્યું હતું, અને પ્રાથમિક ભંડાર GitHub પર સ્થાનાંતરિત કરવામાં આવ્યું હતું. ઉતાવળમાં, તે ભૂલી ગયું હતું કે રીપોઝીટરીને ઍક્સેસ કરવા માટે, ગીટોલાઇટનો ઉપયોગ કરીને SSH ઉપરાંત, ત્યાં અન્ય ઇનપુટ હતું જે તમને HTTPS દ્વારા કમિટ મોકલવાની મંજૂરી આપે છે. આ કિસ્સામાં, git-http-બેકએન્ડનો ઉપયોગ Git સાથે ક્રિયાપ્રતિક્રિયા કરવા માટે કરવામાં આવ્યો હતો, અને Apache2 HTTP સર્વરનો ઉપયોગ કરીને પ્રમાણીકરણ કરવામાં આવ્યું હતું, જે master.php.net સર્વર પર DBMS માં હોસ્ટ કરેલા ડેટાબેઝને ઍક્સેસ કરીને ઓળખપત્રોની ચકાસણી કરે છે. લૉગિનને માત્ર કીઝ સાથે જ નહીં, પણ નિયમિત પાસવર્ડ સાથે પણ મંજૂરી આપવામાં આવી હતી. HTTP સર્વર લૉગ્સનું વિશ્લેષણ પુષ્ટિ કરે છે કે દૂષિત ફેરફારો HTTPS દ્વારા ઉમેરવામાં આવ્યા હતા.

લોગ્સનો અભ્યાસ કરતી વખતે, તે બહાર આવ્યું કે હુમલાખોરોએ પ્રથમ વખત કનેક્ટ કર્યું ન હતું, પરંતુ શરૂઆતમાં એકાઉન્ટનું નામ શોધવાનો પ્રયાસ કર્યો હતો, પરંતુ તેને ઓળખ્યા પછી, તેઓએ પ્રથમ પ્રયાસમાં લોગ ઇન કર્યું, એટલે કે. તેઓ રાસ્મસ અને નિકિતાના પાસવર્ડ અગાઉથી જાણતા હતા, પરંતુ તેમના લોગિન જાણતા ન હતા. જો હુમલાખોરો DBMS ની ઍક્સેસ મેળવવામાં સક્ષમ હતા, તો તે સ્પષ્ટ નથી કે તેઓએ તરત જ ત્યાં ઉલ્લેખિત સાચા લોગિનનો શા માટે ઉપયોગ કર્યો નથી. આ વિસંગતતાને હજુ સુધી વિશ્વસનીય સમજૂતી મળી નથી. master.php.net ના હેકને સૌથી વધુ સંભવિત દૃશ્ય માનવામાં આવે છે, કારણ કે આ સર્વર ખૂબ જૂના કોડ અને જૂના OSનો ઉપયોગ કરે છે, જે લાંબા સમયથી અપડેટ કરવામાં આવ્યો ન હતો અને તેમાં અનપેચ્ડ નબળાઈઓ હતી.

લેવામાં આવેલી ક્રિયાઓમાં master.php.net સર્વર એન્વાયર્નમેન્ટનું પુનઃસ્થાપન અને PHP 8 ના નવા સંસ્કરણમાં સ્ક્રિપ્ટનું ટ્રાન્સફર સામેલ હતું. DBMS સાથે કામ કરવા માટેના કોડમાં પેરામીટરાઇઝ્ડ ક્વેરીઝનો ઉપયોગ કરવા માટે ફેરફાર કરવામાં આવ્યો હતો, જે SQL કોડની અવેજીને જટિલ બનાવે છે. ડેટાબેઝમાં પાસવર્ડ હેશ સ્ટોર કરવા માટે bcrypt અલ્ગોરિધમનો ઉપયોગ થાય છે (અગાઉ, અવિશ્વસનીય MD5 હેશનો ઉપયોગ કરીને પાસવર્ડ્સ સ્ટોર કરવામાં આવતા હતા). હાલના પાસવર્ડ રીસેટ થાય છે અને તમને પાસવર્ડ પુનઃપ્રાપ્તિ ફોર્મ દ્વારા નવો પાસવર્ડ સેટ કરવા માટે સંકેત આપવામાં આવે છે. HTTPS દ્વારા git.php.net અને svn.php.net રીપોઝીટરીઝની ઍક્સેસ MD5 હેશ સાથે જોડાયેલ હોવાથી, git.php.net અને svn.php.netને ફક્ત-વાંચવા માટેના મોડમાં છોડી દેવાનો નિર્ણય લેવામાં આવ્યો હતો, અને તમામને ખસેડવાનું પણ નક્કી કરવામાં આવ્યું હતું. તેમના માટે બાકીના PECL એક્સ્ટેંશન રિપોઝીટરીઝ GitHub પર, જે મુખ્ય PHP રીપોઝીટરી સમાન છે.

સોર્સ: opennet.ru