PHP प्रोजेक्ट के git रिपॉजिटरी और उपयोगकर्ता आधार के समझौते पर रिपोर्ट

एक विशेष रूप से डिज़ाइन किए गए उपयोगकर्ता एजेंट हेडर के साथ अनुरोध भेजते समय सक्रिय पिछले दरवाजे के साथ PHP प्रोजेक्ट के गिट रिपॉजिटरी में दो दुर्भावनापूर्ण प्रतिबद्धताओं की पहचान से संबंधित घटना के विश्लेषण के पहले परिणाम प्रकाशित किए गए हैं। हमलावरों की गतिविधियों के निशानों का अध्ययन करने के दौरान, यह निष्कर्ष निकाला गया कि git.php.net सर्वर, जिस पर git रिपॉजिटरी स्थित था, हैक नहीं किया गया था, लेकिन प्रोजेक्ट डेवलपर्स के खातों वाले डेटाबेस से समझौता किया गया था .

यह संभव है कि हमलावर मास्टर.php.net सर्वर पर DBMS में संग्रहीत उपयोगकर्ता डेटाबेस को डाउनलोड करने में सक्षम थे। master.php.net की सामग्री पहले ही स्क्रैच से स्थापित नए main.php.net सर्वर पर माइग्रेट कर दी गई है। Php.net इंफ्रास्ट्रक्चर तक पहुंचने के लिए उपयोग किए गए सभी डेवलपर पासवर्ड रीसेट कर दिए गए थे और उन्हें बदलने की प्रक्रिया एक विशेष पासवर्ड रिकवरी फॉर्म के माध्यम से शुरू की गई थी। git.php.net और svn.php.net रिपॉजिटरी केवल पढ़ने के लिए ही रहती हैं (विकास को GitHub में स्थानांतरित कर दिया गया है)।

PHP के संस्थापक रासमस लेरडोर्फ के खाते के माध्यम से की गई पहली दुर्भावनापूर्ण प्रतिबद्धता की खोज के बाद, यह माना गया कि उनका खाता हैक कर लिया गया था और प्रमुख PHP डेवलपर्स में से एक, निकिता पोपोव ने परिवर्तनों को वापस ले लिया और प्रतिबद्ध अधिकारों को अवरुद्ध कर दिया। समस्याग्रस्त खाता. कुछ समय बाद, यह अहसास हुआ कि अवरोधन का कोई मतलब नहीं है, क्योंकि डिजिटल हस्ताक्षर का उपयोग करके प्रतिबद्धताओं के सत्यापन के बिना, php-src रिपॉजिटरी तक पहुंच वाला कोई भी भागीदार एक काल्पनिक लेखक नाम को प्रतिस्थापित करके बदलाव कर सकता है।

इसके बाद, हमलावरों ने खुद निकिता की ओर से एक दुर्भावनापूर्ण कमिट भेजा। रिपॉजिटरी तक पहुंच को व्यवस्थित करने के लिए उपयोग की जाने वाली गिटोलाइट सेवा के लॉग का विश्लेषण करके, उस भागीदार को निर्धारित करने का प्रयास किया गया जिसने वास्तव में परिवर्तन किए थे। सभी प्रतिबद्धताओं के लिए लेखांकन शामिल करने के बावजूद, दो दुर्भावनापूर्ण परिवर्तनों के लिए लॉग में कोई प्रविष्टियाँ नहीं थीं। यह स्पष्ट हो गया कि बुनियादी ढांचे के साथ समझौता हुआ था, क्योंकि गिटोलाइट के माध्यम से कनेक्शन को दरकिनार करते हुए कमिट सीधे जोड़े गए थे।

Git.php.net सर्वर को तुरंत अक्षम कर दिया गया, और प्राथमिक रिपॉजिटरी को GitHub में स्थानांतरित कर दिया गया। जल्दबाजी में, यह भूल गया कि रिपॉजिटरी तक पहुंचने के लिए, गिटोलाइट का उपयोग करने वाले एसएसएच के अलावा, एक और इनपुट था जो आपको HTTPS के माध्यम से कमिट भेजने की अनुमति देता था। इस मामले में, Git के साथ इंटरैक्ट करने के लिए git-http-backend का उपयोग किया गया था, और Apache2 HTTP सर्वर का उपयोग करके प्रमाणीकरण किया गया था, जो मास्टर.php.net सर्वर पर DBMS में होस्ट किए गए डेटाबेस तक पहुंच कर क्रेडेंशियल्स को सत्यापित करता था। लॉगिन को न केवल कुंजी के साथ, बल्कि नियमित पासवर्ड के साथ भी अनुमति दी गई थी। HTTP सर्वर लॉग के विश्लेषण से पुष्टि हुई कि HTTPS के माध्यम से दुर्भावनापूर्ण परिवर्तन जोड़े गए थे।

लॉग्स का अध्ययन करने पर पता चला कि हमलावरों ने पहली बार कनेक्ट नहीं किया था, लेकिन शुरुआत में अकाउंट का नाम ढूंढने की कोशिश की, लेकिन इसकी पहचान करने के बाद, उन्होंने पहली बार में लॉग इन किया, यानी। वे रैसमस और निकिता के पासवर्ड पहले से जानते थे, लेकिन उनके लॉगिन नहीं जानते थे। यदि हमलावर डीबीएमएस तक पहुंच प्राप्त करने में सक्षम थे, तो यह स्पष्ट नहीं है कि उन्होंने तुरंत वहां निर्दिष्ट सही लॉगिन का उपयोग क्यों नहीं किया। इस विसंगति को अभी तक कोई विश्वसनीय स्पष्टीकरण नहीं मिला है। master.php.net का हैक होना सबसे संभावित परिदृश्य माना जाता है, क्योंकि यह सर्वर बहुत पुराने कोड और एक पुराने ओएस का उपयोग करता था, जिसे लंबे समय से अपडेट नहीं किया गया था और इसमें अप्रकाशित कमजोरियां थीं।

की गई कार्रवाइयों में मास्टर.php.net सर्वर वातावरण की पुनर्स्थापना और PHP 8 के नए संस्करण में स्क्रिप्ट का स्थानांतरण शामिल है। DBMS के साथ काम करने के लिए कोड को पैरामीटरयुक्त क्वेरी का उपयोग करने के लिए संशोधित किया गया है जो SQL कोड के प्रतिस्थापन को जटिल बनाता है। बीक्रिप्ट एल्गोरिदम का उपयोग डेटाबेस में पासवर्ड हैश को संग्रहीत करने के लिए किया जाता है (पहले, पासवर्ड अविश्वसनीय एमडी 5 हैश का उपयोग करके संग्रहीत किए जाते थे)। मौजूदा पासवर्ड रीसेट कर दिए जाते हैं और आपको पासवर्ड रिकवरी फॉर्म के माध्यम से एक नया पासवर्ड सेट करने के लिए कहा जाता है। चूंकि HTTPS के माध्यम से git.php.net और svn.php.net रिपॉजिटरी तक पहुंच MD5 हैश से जुड़ी हुई थी, इसलिए git.php.net और svn.php.net को रीड-ओनली मोड में छोड़ने और सभी को स्थानांतरित करने का निर्णय लिया गया। मुख्य PHP रिपॉजिटरी के समान, GitHub पर उनके पास PECL एक्सटेंशन रिपॉजिटरी शेष हैं।

स्रोत: opennet.ru