PHP 프로젝트의 git 저장소 및 사용자 기반 손상에 대해 보고합니다.

특별히 설계된 사용자 에이전트 헤더가 포함된 요청을 보낼 때 백도어가 활성화된 PHP 프로젝트의 Git 저장소에서 두 개의 악성 커밋 식별과 관련된 사건 분석의 첫 번째 결과가 게시되었습니다. 공격자들의 활동 흔적을 조사한 결과, git 저장소가 위치한 git.php.net 서버 자체는 해킹되지 않았으나, 프로젝트 개발자들의 계정이 포함된 데이터베이스가 해킹당한 것으로 결론이 났다. .

공격자는 master.php.net 서버의 DBMS에 저장된 사용자 데이터베이스를 다운로드할 수 있었을 가능성이 있습니다. master.php.net의 내용은 이미 처음부터 설치된 새로운 main.php.net 서버로 마이그레이션되었습니다. php.net 인프라에 액세스하는 데 사용된 모든 개발자 비밀번호는 재설정되었으며 비밀번호 변경 프로세스는 특수 비밀번호 복구 양식을 통해 시작되었습니다. git.php.net 및 svn.php.net 리포지토리는 읽기 전용으로 유지됩니다(개발은 GitHub로 이동되었습니다).

PHP의 창립자인 Rasmus Lerdorf의 계정을 통해 이루어진 첫 번째 악성 커밋이 발견된 후, 그의 계정이 해킹된 것으로 추정되었으며 주요 PHP 개발자 중 한 명인 Nikita Popov가 변경 사항을 롤백하고 커밋 권한을 차단했습니다. 문제의 계정. 얼마 후 디지털 서명을 사용하여 커밋을 확인하지 않으면 php-src 저장소에 액세스할 수 있는 모든 참가자가 가상의 작성자 이름을 대체하여 변경할 수 있기 때문에 차단이 의미가 없다는 것을 깨달았습니다.

다음으로, 공격자는 Nikita 자신을 대신하여 악의적인 커밋을 보냈습니다. 리포지토리에 대한 액세스를 구성하는 데 사용되는 gitolite 서비스의 로그를 분석하여 실제로 변경을 수행한 참가자를 확인하려는 시도가 이루어졌습니다. 모든 커밋에 대한 설명이 포함되었음에도 불구하고 로그에는 두 가지 악의적인 변경 사항에 대한 항목이 없습니다. 커밋이 직접 추가되어 gitolite를 통한 연결을 우회하므로 인프라가 손상되었다는 것이 분명해졌습니다.

git.php.net 서버는 즉시 비활성화되었으며 기본 저장소는 GitHub로 이전되었습니다. 저장소에 액세스하려면 gitolite를 사용하는 SSH 외에도 HTTPS를 통해 커밋을 보낼 수 있는 또 다른 입력이 있다는 사실을 서둘러 잊어버렸습니다. 이 경우 Git과 상호 작용하기 위해 git-http-backend가 사용되었으며, master.php.net 서버의 DBMS에 호스팅된 데이터베이스에 액세스하여 자격 증명을 확인하는 Apache2 HTTP 서버를 사용하여 인증이 수행되었습니다. 키뿐만 아니라 일반 비밀번호로도 로그인이 허용되었습니다. http 서버 로그를 분석한 결과 HTTPS를 통해 악의적인 변경 사항이 추가된 것으로 확인되었습니다.

로그를 분석한 결과, 공격자는 처음 접속한 것이 아니라 처음에는 계정명을 찾으려 했으나, 이를 확인한 후 첫 번째 시도에서 로그인한 것으로 드러났다. 그들은 Rasmus와 Nikita의 비밀번호를 미리 알고 있었지만 로그인 정보는 몰랐습니다. 공격자가 DBMS에 접근할 수 있었다면, 거기에 지정된 올바른 로그인을 즉시 사용하지 않은 이유는 분명하지 않습니다. 이 불일치는 아직 신뢰할만한 설명을 얻지 못했습니다. master.php.net 해킹은 가장 가능성이 높은 시나리오로 간주됩니다. 이 서버는 오랫동안 업데이트되지 않았고 패치되지 않은 취약점이 있는 매우 오래된 코드와 오래된 OS를 사용했기 때문입니다.

취한 조치에는 master.php.net 서버 환경 재설치 및 새 버전의 PHP 8로 스크립트 전송이 포함됩니다. DBMS 작업용 코드는 SQL 코드 대체를 복잡하게 만드는 매개변수화된 쿼리를 사용하도록 수정되었습니다. bcrypt 알고리즘은 데이터베이스에 비밀번호 해시를 저장하는 데 사용됩니다(이전에는 비밀번호가 신뢰할 수 없는 MD5 해시를 사용하여 저장되었습니다). 기존 비밀번호가 재설정되고 비밀번호 복구 양식을 통해 새 비밀번호를 설정하라는 메시지가 표시됩니다. HTTPS를 통한 git.php.net 및 svn.php.net 저장소에 대한 액세스는 MD5 해시에 연결되어 있으므로 git.php.net 및 svn.php.net을 읽기 전용 모드로 유지하고 모두 이동하기로 결정했습니다. 나머지는 기본 PHP 저장소와 유사한 GitHub의 PECL 확장 저장소입니다.

출처 : opennet.ru