PHP प्रोजेक्ट के git रिपॉजिटरी और उपयोगकर्ता आधार के समझौते पर रिपोर्ट

PHP प्रोजेक्ट Git रिपोजिटरी में दो दुर्भावनापूर्ण कमिट्स का पता लगाने से संबंधित घटना के विश्लेषण के पहले परिणाम प्रकाशित किए गए हैं, जिसमें विशेष रूप से प्रारूपित उपयोगकर्ता एजेंट हेडर के साथ अनुरोध भेजे जाने पर बैकडोर सक्रिय हो जाता है। हमलावरों की गतिविधियों के निशानों के अध्ययन के दौरान, यह निष्कर्ष निकाला गया कि git.php.net सर्वर, जिस पर git रिपोजिटरी होस्ट की गई थी, को हैक नहीं किया गया था, बल्कि परियोजना डेवलपर्स के खातों वाले डेटाबेस से समझौता किया गया था।

यह संभव है कि हमलावर DBMS में संग्रहीत उपयोगकर्ता डेटाबेस को master.php.net सर्वर पर डाउनलोड करने में सक्षम थे। master.php.net की सामग्री को पहले ही नए main.php.net सर्वर पर स्थानांतरित कर दिया गया है, जिसे नए सिरे से स्थापित किया गया है। php.net अवसंरचना तक पहुंचने के लिए उपयोग किए गए सभी डेवलपर पासवर्ड रीसेट कर दिए गए हैं और उन्हें बदलने की प्रक्रिया एक विशेष पासवर्ड रिकवरी फॉर्म के माध्यम से शुरू कर दी गई है। git.php.net और svn.php.net रिपॉजिटरीज अभी भी केवल पढ़ने के लिए उपलब्ध हैं (विकास कार्य को GitHub पर स्थानांतरित कर दिया गया है)।

PHP के संस्थापक, रासमस लेरडोर्फ के खाते के माध्यम से किए गए पहले दुर्भावनापूर्ण कमिट का पता चलने के बाद, यह माना गया कि उनके खाते को हैक कर लिया गया था और प्रमुख PHP डेवलपर्स में से एक, निकिता पोपोव ने परिवर्तनों को वापस ले लिया था और समस्याग्रस्त खाते के लिए कमिट अधिकारों को अवरुद्ध कर दिया था। कुछ समय बाद, यह स्पष्ट हो गया कि ब्लॉक करने का कोई मतलब नहीं था, क्योंकि डिजिटल हस्ताक्षर द्वारा प्रतिबद्धताओं के सत्यापन के बिना, php-src रिपोजिटरी तक पहुंच वाला कोई भी प्रतिभागी काल्पनिक लेखक का नाम प्रतिस्थापित करके परिवर्तन कर सकता था।

इसके बाद हमलावरों ने निकिता की ओर से एक दुर्भावनापूर्ण संदेश भेजा। गिटोलाइट सेवा के लॉग का विश्लेषण करके, जिसका उपयोग रिपॉजिटरी तक पहुंच को व्यवस्थित करने के लिए किया जाता है, यह निर्धारित करने का प्रयास किया गया कि वास्तव में परिवर्तन किसने किया था। सभी प्रतिबद्धताओं पर नज़र रखने के बावजूद, दो दुर्भावनापूर्ण परिवर्तनों के लिए कोई लॉग प्रविष्टियाँ नहीं थीं। यह स्पष्ट हो गया कि बुनियादी ढांचे के साथ समझौता किया गया था, क्योंकि कमिट्स को सीधे जोड़ा गया था, gitolite के माध्यम से कनेक्शन को दरकिनार करते हुए।

git.php.net सर्वर को तुरंत बंद कर दिया गया और मुख्य रिपॉजिटरी को GitHub पर स्थानांतरित कर दिया गया। जल्दबाजी में यह बात नज़रअंदाज़ हो गई कि gitolite का उपयोग करके SSH एक्सेस के अलावा, रिपॉजिटरी के लिए एक और लॉगिन भी था, जिससे HTTPS के माध्यम से कमिट भेजे जा सकते थे। इस मामले में, Git के साथ इंटरैक्शन के लिए git-http-backend का उपयोग किया गया था, और प्रमाणीकरण Apache2 HTTP सर्वर का उपयोग करके किया गया था, जिसने GitHub पर होस्ट किए गए डेटाबेस तक पहुँचकर अनुमतियों को सत्यापित किया था। सर्वर master.php.net पर लॉगिन न केवल कुंजी का उपयोग करके बल्कि सामान्य पासवर्ड का उपयोग करके भी किया जा सकता था। HTTP सर्वर लॉग के विश्लेषण से पुष्टि हुई कि दुर्भावनापूर्ण परिवर्तन HTTPS के माध्यम से किए गए थे।

लॉग की जांच से पता चला कि हमलावरों ने पहली कोशिश में कनेक्शन नहीं बनाया, बल्कि पहले अकाउंट का नाम अनुमान लगाने की कोशिश की। नाम का पता लगाने के बाद, उन्होंने पहली ही कोशिश में लॉग इन कर लिया। इसका मतलब है कि उन्हें रासमस और निकिता के पासवर्ड पहले से पता थे, लेकिन उनके यूज़रनेम नहीं। अगर हमलावर डेटाबेस सिस्टम तक पहुंच गए थे, तो यह स्पष्ट नहीं है कि उन्होंने वहां दिए गए सही यूज़रनेम का तुरंत इस्तेमाल क्यों नहीं किया। इस विसंगति का अभी तक कोई विश्वसनीय स्पष्टीकरण नहीं मिल पाया है। फिलहाल, master.php.net की हैकिंग को ही सबसे संभावित कारण माना जा रहा है। सर्वर इसमें बहुत पुराना कोड और एक पुराना ऑपरेटिंग सिस्टम इस्तेमाल किया गया था, जिसे लंबे समय से अपडेट नहीं किया गया था और जिसमें अनपैच्ड कमजोरियां मौजूद थीं।

उठाए गए कदमों में master.php.net सर्वर वातावरण को पुनः स्थापित करना और स्क्रिप्ट को PHP 8 के नए संस्करण में स्थानांतरित करना शामिल है। DBMS के साथ काम करने के लिए कोड को पैरामीटरयुक्त क्वेरीज़ का उपयोग करने के लिए पुनः तैयार किया गया है, जो SQL कोड के प्रतिस्थापन को जटिल बनाता है। bcrypt एल्गोरिथ्म का उपयोग डेटाबेस में पासवर्ड हैश को संग्रहीत करने के लिए किया जाता है (पहले, पासवर्ड को अविश्वसनीय MD5 हैश का उपयोग करके संग्रहीत किया जाता था)। मौजूदा पासवर्ड रीसेट कर दिए जाते हैं और आपको पासवर्ड रिकवरी फॉर्म के माध्यम से नया पासवर्ड सेट करने के लिए कहा जाता है। चूंकि HTTPS के माध्यम से git.php.net और svn.php.net रिपॉजिटरी तक पहुंच MD5 हैश से जुड़ी थी, इसलिए यह निर्णय लिया गया कि git.php.net और svn.php.net को केवल पढ़ने के लिए मोड में छोड़ दिया जाए, तथा उन पर शेष सभी PECL एक्सटेंशन रिपॉजिटरी को भी मुख्य PHP रिपॉजिटरी के समान GitHub पर स्थानांतरित कर दिया जाए।

स्रोत: opennet.ru