ເມື່ອ 'a' ບໍ່ເທົ່າກັບ 'a'. ໃນ wake ຂອງ hack ໄດ້

ມີເລື່ອງທີ່ບໍ່ພໍໃຈທີ່ສຸດເກີດຂຶ້ນກັບໝູ່ຂອງຂ້ອຍຄົນໜຶ່ງ. ​ແຕ່​ມັນ​ເປັນ​ທີ່​ບໍ່​ພໍ​ໃຈ​ທີ່​ມັນ​ໄດ້​ກາຍ​ເປັນ​ສຳລັບ Mikhail, ມັນ​ເປັນ​ການ​ມ່ວນ​ຊື່ນ​ສຳລັບ​ຂ້ອຍ.

ຂ້ອຍຕ້ອງເວົ້າວ່າເພື່ອນຂອງຂ້ອຍແມ່ນຂ້ອນຂ້າງ UNIX-user: ສາມາດຕິດຕັ້ງລະບົບເອງໄດ້ mysql, php ແລະ​ເຮັດ​ໃຫ້​ການ​ຕັ້ງ​ຄ່າ​ງ່າຍ​ດາຍ​ nginx.
ແລະລາວມີເວັບໄຊທ໌ອາຍແກັສຫຼືຫນຶ່ງແລະເຄິ່ງຫນຶ່ງທີ່ອຸທິດຕົນເພື່ອເຄື່ອງມືກໍ່ສ້າງ.

ຫນຶ່ງໃນສະຖານທີ່ເຫຼົ່ານີ້ອຸທິດຕົນເພື່ອ chainsaws ນັ່ງຢ່າງຫນັກແຫນ້ນຢູ່ໃນ TOP ຂອງເຄື່ອງຈັກຊອກຫາ. ເວັບໄຊທ໌ນີ້ແມ່ນນັກທົບທວນທີ່ບໍ່ແມ່ນການຄ້າ, ແຕ່ມີຄົນເຂົ້າໄປໃນນິໄສຂອງການໂຈມຕີມັນ. ນັ້ນ DDoS, ຫຼັງຈາກນັ້ນ, brute force, ຫຼັງຈາກນັ້ນພວກເຂົາຂຽນຄໍາຄິດເຫັນທີ່ຫຍາບຄາຍແລະສົ່ງການລ່ວງລະເມີດໄປຫາເຈົ້າພາບແລະ RKN.
ທັນທີທັນໃດ, ທຸກສິ່ງທຸກຢ່າງສະຫງົບລົງແລະຄວາມສະຫງົບນີ້ໄດ້ກາຍເປັນບໍ່ດີ, ແລະເວັບໄຊທ໌ໄດ້ເລີ່ມຄ່ອຍໆອອກຈາກແຖວເທິງຂອງຜົນການຄົ້ນຫາ.

ນັ້ນແມ່ນຄໍາເວົ້າ, ຫຼັງຈາກນັ້ນເລື່ອງຂອງ admin ເອງ.

ມັນໃກ້ຈະເຂົ້ານອນເມື່ອໂທລະສັບດັງຂຶ້ນ: “ຊານ, ເຈົ້າບໍ່ເບິ່ງເຊີບເວີຂອງຂ້ອຍບໍ? ມັນເບິ່ງຄືວ່າຂ້ອຍຖືກແຮັກ, ຂ້ອຍບໍ່ສາມາດພິສູດໄດ້, ແຕ່ຄວາມຮູ້ສຶກບໍ່ໄດ້ປະໄວ້ຂ້ອຍສໍາລັບອາທິດທີສາມ. ບາງທີມັນເຖິງເວລາແລ້ວສຳລັບຂ້ອຍທີ່ຈະປິ່ນປົວພະຍາດ paranoia?”

ສິ່ງ​ທີ່​ຕິດ​ຕາມ​ມາ​ແມ່ນ​ການ​ສົນ​ທະ​ນາ​ເປັນ​ເວ​ລາ​ເຄິ່ງ​ຊົ່ວ​ໂມງ ຊຶ່ງ​ສາ​ມາດ​ສະ​ຫຼຸບ​ໄດ້​ດັ່ງ​ນີ້:

• ດິນສໍາລັບການ hack ແມ່ນຂ້ອນຂ້າງອຸດົມສົມບູນ;
• ຜູ້ໂຈມຕີສາມາດໄດ້ຮັບສິດທິຜູ້ໃຊ້ສູງສຸດ;
• ການ​ໂຈມ​ຕີ (ຖ້າ​ຫາກ​ວ່າ​ມັນ​ເກີດ​ຂຶ້ນ​) ແມ່ນ​ເປົ້າ​ຫມາຍ​ສະ​ເພາະ​ຢູ່​ໃນ​ເວັບ​ໄຊ​ນີ້​;
• ພື້ນທີ່ບັນຫາໄດ້ຮັບການແກ້ໄຂແລະທ່ານພຽງແຕ່ຕ້ອງການເຂົ້າໃຈວ່າມີການເຈາະ;
• hack ບໍ່ສາມາດສົ່ງຜົນກະທົບຕໍ່ລະຫັດເວັບໄຊທ໌ແລະຖານຂໍ້ມູນ.

ກ່ຽວກັບຈຸດສຸດທ້າຍ.

ພຽງແຕ່ IP frontend ສີຂາວເບິ່ງອອກໄປໃນໂລກ. ບໍ່ມີການແລກປ່ຽນລະຫວ່າງ backends ແລະ frontend ຍົກເວັ້ນ http (s), ຜູ້ໃຊ້ / ລະຫັດຜ່ານແມ່ນແຕກຕ່າງກັນ, ບໍ່ມີການແລກປ່ຽນລະຫັດ. ໃນທີ່ຢູ່ສີເທົາ, ທຸກພອດຍົກເວັ້ນ 80/443 ປິດ. IP backend ສີຂາວແມ່ນເປັນທີ່ຮູ້ຈັກກັບຜູ້ໃຊ້ສອງຄົນເທົ່ານັ້ນ, ເຊິ່ງ Mikhail ໄວ້ວາງໃຈຢ່າງສົມບູນ.

ຕິດຕັ້ງຢູ່ດ້ານໜ້າ Debian 9 ແລະໃນເວລາທີ່ການໂທແມ່ນ, ລະບົບໄດ້ຖືກໂດດດ່ຽວຈາກໂລກໂດຍ firewall ພາຍນອກແລະຢຸດເຊົາ.

“ຕົກລົງ, ໃຫ້ຂ້ອຍເຂົ້າເຖິງ,” ຂ້ອຍຕັດສິນໃຈເຊົານອນເປັນເວລາໜຶ່ງຊົ່ວໂມງ. "ຂ້ອຍຈະເຫັນດ້ວຍຕາຂອງຂ້ອຍເອງ."

ທີ່ນີ້ ແລະຕໍ່ໄປ:

$ grep -F PRETTY_NAME /etc/*releas*
PRETTY_NAME="Debian GNU/Linux 9 (stretch)"
$ `echo $SHELL` --version
GNU bash, version 4.4.12(1)-release (x86_64-pc-linux-gnu)
$ nginx -v
nginx version: nginx/1.10.3
$ gdb --version
GNU gdb (Debian 8.2.1-2) 8.2.1

ຊອກຫາການ hack ທີ່ເປັນໄປໄດ້

ຂ້ອຍເລີ່ມຕົ້ນເຄື່ອງແມ່ຂ່າຍ, ທໍາອິດໃນ ຮູບ​ແບບ​ການ​ກູ້​ໄພ​. ຂ້ອຍຕິດແຜ່ນແລະພິກຜ່ານພວກມັນ auth-ໄມ້ທ່ອນ, ປະຫວັດສາດ, ບັນທຶກລະບົບ, ແລະອື່ນໆ, ຖ້າເປັນໄປໄດ້, ຂ້ອຍກວດເບິ່ງວັນທີຂອງການສ້າງໄຟລ໌, ເຖິງແມ່ນວ່າຂ້ອຍເຂົ້າໃຈວ່າ cracker ປົກກະຕິຈະ "ກວາດລ້າງ" ຕົວເອງ, ແລະ Misha ໄດ້ "ຢຽບ" ຫຼາຍແລ້ວໃນຂະນະທີ່ລາວກໍາລັງຊອກຫາຕົວເອງ. .

ຂ້ອຍເລີ່ມຕົ້ນໃນຮູບແບບປົກກະຕິ, ຍັງບໍ່ທັນເຂົ້າໃຈສິ່ງທີ່ຕ້ອງຊອກຫາ, ຂ້ອຍສຶກສາການຕັ້ງຄ່າ. ກ່ອນອື່ນ ໝົດ, ຂ້ອຍສົນໃຈ nginx ເນື່ອງຈາກວ່າ, ໂດຍທົ່ວໄປ, ບໍ່ມີຫຍັງອີກໃນ frontend ຍົກເວັ້ນມັນ.
configs ແມ່ນຂະຫນາດນ້ອຍ, ໂຄງສ້າງທີ່ດີເຂົ້າໄປໃນອາຍແກັສໄຟລ໌, ຂ້າພະເຈົ້າພຽງແຕ່ເບິ່ງຜ່ານພວກມັນ ແມວໂອ້ຍຫນຶ່ງຫນຶ່ງ. ທຸກຢ່າງເບິ່ງຄືວ່າສະອາດ, ແຕ່ເຈົ້າບໍ່ເຄີຍຮູ້ວ່າຂ້ອຍພາດບາງສິ່ງບາງຢ່າງ ປະກອບດ້ວຍ, ໃຫ້ຂ້ອຍເຮັດບັນຊີລາຍຊື່ເຕັມ:

$ nginx -T
nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok
nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful

ຂ້ອຍບໍ່ເຂົ້າໃຈ: "ລາຍການຢູ່ໃສ?"

$ nginx -V
nginx version: nginx/1.10.3
TLS SNI support enabled
configure arguments: --with-cc-opt='-g -O2' --with-ld-opt='-Wl,-z,relro -Wl,-z,now' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-ipv6 --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_addition_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_sub_module --with-stream=dynamic --with-stream_ssl_module --with-mail=dynamic --with-mail_ssl_module

ຄໍາຖາມທີສອງຖືກເພີ່ມໃສ່ຄໍາຖາມລາຍຊື່: "ເປັນຫຍັງ nginx ຮຸ່ນເກົ່າແກ່ແບບນີ້?"

ນອກຈາກນັ້ນ, ລະບົບເຊື່ອວ່າມີການຕິດຕັ້ງເວີຊັນຫຼ້າສຸດ:

$ dpkg -l nginx | grep "[n]ginx"
ii  nginx          1.14.2-2+deb10u1 all          small, powerful, scalable web/proxy server

ຂ້ອຍກຳລັງໂທຫາ:
- Misha, ເປັນຫຍັງທ່ານຈຶ່ງປະກອບຄືນໃຫມ່ nginx?
- ລໍຖ້າ, ຂ້ອຍບໍ່ຮູ້ວິທີເຮັດແນວນີ້!
- ດີແລ້ວ, ໄປນອນ ...

Nginx ມັນໄດ້ຖືກສ້າງໃຫມ່ຢ່າງຈະແຈ້ງແລະຜົນຜະລິດຂອງລາຍຊື່ທີ່ໃຊ້ "-T" ຖືກເຊື່ອງໄວ້ດ້ວຍເຫດຜົນ. ບໍ່ມີຄວາມສົງໃສໃດໆກ່ຽວກັບການ hacking ແລະທ່ານພຽງແຕ່ສາມາດຍອມຮັບມັນແລະ (ນັບຕັ້ງແຕ່ Misha ປ່ຽນເຄື່ອງແມ່ຂ່າຍດ້ວຍເຄື່ອງໃຫມ່ຢ່າງໃດກໍ່ຕາມ) ພິຈາລະນາແກ້ໄຂບັນຫາ.

ແລະແທ້ຈິງແລ້ວ, ນັບຕັ້ງແຕ່ຜູ້ໃດຜູ້ຫນຶ່ງໄດ້ຮັບສິດທິ ຮາກ'ອ່າ, ຫຼັງຈາກນັ້ນມັນພຽງແຕ່ເຮັດໃຫ້ຄວາມຮູ້ສຶກທີ່ຈະເຮັດ ຕິດຕັ້ງລະບົບຄືນໃໝ່, ແລະມັນບໍ່ມີປະໂຫຍດທີ່ຈະຊອກຫາສິ່ງທີ່ຜິດພາດຢູ່ທີ່ນັ້ນ, ແຕ່ເວລານີ້ຄວາມຢາກຮູ້ຢາກໄດ້ເອົາຊະນະການນອນ. ພວກເຮົາສາມາດຊອກຫາສິ່ງທີ່ພວກເຂົາຕ້ອງການປິດບັງຈາກພວກເຮົາໄດ້ແນວໃດ?

ໃຫ້ພະຍາຍາມຕິດຕາມ:

$ strace nginx -T

ພວກ​ເຮົາ​ເບິ່ງ​ຢູ່​ໃນ​ມັນ​, ມີ​ຢ່າງ​ຈະ​ແຈ້ງ​ບໍ່​ມີ​ສາຍ​ພຽງ​ພໍ​ໃນ trace a la​

write(1, "/etc/nginx/nginx.conf", 21/etc/nginx/nginx.conf)   = 21
write(1, "...
write(1, "n", 1

ພຽງແຕ່ເພື່ອຄວາມມ່ວນ, ໃຫ້ປຽບທຽບການຄົ້ນພົບ.

$ strace nginx -T 2>&1 | wc -l
264
$ strace nginx -t 2>&1 | wc -l
264

ຂ້າພະເຈົ້າຄິດວ່າສ່ວນຫນຶ່ງຂອງລະຫັດ /src/core/nginx.c

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 1;
                break;

ໄດ້​ນໍາ​ເອົາ​ຮູບ​ແບບ​ການ​:

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                //ngx_dump_config = 1;
                break;

ຫຼື

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 0;
                break;

ດັ່ງນັ້ນ, ລາຍຊື່ໂດຍ "-T" ບໍ່ໄດ້ຖືກສະແດງ.

ແຕ່ພວກເຮົາຈະເບິ່ງ config ຂອງພວກເຮົາໄດ້ແນວໃດ?

ຖ້າຄວາມຄິດຂອງຂ້ອຍຖືກຕ້ອງແລະບັນຫາແມ່ນພຽງແຕ່ຢູ່ໃນຕົວແປ ngx_dump_config ໃຫ້ພະຍາຍາມຕິດຕັ້ງມັນໂດຍໃຊ້ gdb, ໂຊກດີທີ່ມີກະແຈ --with-cc-opt -g ປະຈຸບັນແລະຫວັງວ່າການເພີ່ມປະສິດທິພາບນັ້ນ -O2 ມັນຈະບໍ່ທໍາຮ້າຍພວກເຮົາ. ໃນເວລາດຽວກັນ, ເນື່ອງຈາກວ່າຂ້າພະເຈົ້າບໍ່ຮູ້ວິທີ ngx_dump_config ສາມາດໄດ້ຮັບການປຸງແຕ່ງໃນ ກໍລະນີ 'T':, ພວກເຮົາຈະບໍ່ໂທຫາຕັນນີ້, ແຕ່ຕິດຕັ້ງມັນໂດຍໃຊ້ ກໍລະນີ 't':

ເປັນຫຍັງເຈົ້າຈຶ່ງສາມາດໃຊ້ '-t' ເຊັ່ນດຽວກັນກັບ '-T'ບລັອກການປະມວນຜົນ ຖ້າ(ngx_dump_config) ເກີດຂຶ້ນພາຍໃນ ຖ້າ(ngx_test_config):

    if (ngx_test_config) {
        if (!ngx_quiet_mode) {
            ngx_log_stderr(0, "configuration file %s test is successful",
                           cycle->conf_file.data);
        }

        if (ngx_dump_config) {
            cd = cycle->config_dump.elts;

            for (i = 0; i < cycle->config_dump.nelts; i++) {

                ngx_write_stdout("# configuration file ");
                (void) ngx_write_fd(ngx_stdout, cd[i].name.data,
                                    cd[i].name.len);
                ngx_write_stdout(":" NGX_LINEFEED);

                b = cd[i].buffer;

                (void) ngx_write_fd(ngx_stdout, b->pos, b->last - b->pos);
                ngx_write_stdout(NGX_LINEFEED);
            }
        }

        return 0;
    }

ແນ່ນອນ, ຖ້າລະຫັດຖືກປ່ຽນແປງໃນສ່ວນນີ້ແລະບໍ່ຢູ່ໃນ ກໍລະນີ 'T':, ຫຼັງຈາກນັ້ນວິທີການຂອງຂ້ອຍຈະບໍ່ເຮັດວຽກ.

ທົດສອບ nginx.confໂດຍໄດ້ແກ້ໄຂບັນຫາດັ່ງກ່າວໃນການທົດລອງແລ້ວ, ມັນໄດ້ຖືກສ້າງຕັ້ງຂື້ນວ່າຕ້ອງມີການຕັ້ງຄ່າຂັ້ນຕ່ໍາສໍາລັບ malware ທີ່ຈະເຮັດວຽກ nginx ປະເພດ:

events {
}

http {
	include /etc/nginx/sites-enabled/*;
}

ພວກເຮົາຈະໃຊ້ມັນສໍາລັບ brevity ໃນບົດຄວາມ.

ເປີດໃຊ້ຕົວດີບັກ

$ gdb --silent --args nginx -t
Reading symbols from nginx...done.
(gdb) break main
Breakpoint 1 at 0x1f390: file src/core/nginx.c, line 188.
(gdb) run
Starting program: nginx -t
[Thread debugging using libthread_db enabled]
Using host libthread_db library "/lib/x86_64-linux-gnu/libthread_db.so.1".

Breakpoint 1, main (argc=2, argv=0x7fffffffebc8) at src/core/nginx.c:188
188     src/core/nginx.c: No such file or directory.
(gdb) print ngx_dump_config=1
$1 = 1
(gdb) continue
Continuing.
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
# configuration file /etc/nginx/nginx.conf:
events {
}

http {
map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

        include /etc/nginx/sites-enabled/*;
}
# configuration file /etc/nginx/sites-enabled/default:

[Inferior 1 (process 32581) exited normally]
(gdb) quit

ໃນຂັ້ນຕອນ:

• ຕັ້ງຈຸດຢຸດໃນຟັງຊັນ ຕົ້ນຕໍ ()
• ເປີດຕົວໂຄງການ
• ປ່ຽນຄ່າຂອງຕົວແປທີ່ກໍານົດຜົນຜະລິດຂອງ config ngx_dump_config=1
• ສືບຕໍ່ / ສິ້ນສຸດໂຄງການ

ດັ່ງທີ່ພວກເຮົາສາມາດເຫັນໄດ້, ການຕັ້ງຄ່າທີ່ແທ້ຈິງແຕກຕ່າງຈາກຂອງພວກເຮົາ, ພວກເຮົາເລືອກຊິ້ນສ່ວນຂອງແມ່ກາຝາກຈາກມັນ:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

ໃຫ້ພິຈາລະນາສິ່ງທີ່ເກີດຂຶ້ນຢູ່ທີ່ນີ້ເປັນລໍາດັບ.

ກໍານົດ ຕົວແທນຜູ້ໃຊ້'yandex/google:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

ໜ້າບໍລິການຖືກຍົກເວັ້ນ wordpress:

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

ແລະສໍາລັບຜູ້ທີ່ຕົກຢູ່ພາຍໃຕ້ທັງສອງເງື່ອນໄຂຂ້າງເທິງ

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

ໃນຂໍ້ຄວາມ html- ຫນ້າ​ປ່ຽນ​ແປງ​ 'ໂອ' ສຸດ 'o' и 'ກ' ສຸດ 'a':

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

ນັ້ນແມ່ນ, ຄວາມອ່ອນໂຍນພຽງແຕ່ນັ້ນແມ່ນ 'a' != 'ກ' ຄືກັນກັບ 'o' != 'o':

ດັ່ງນັ້ນ, bots ເຄື່ອງຈັກຊອກຫາໄດ້ຮັບ, ແທນທີ່ຈະເປັນຂໍ້ຄວາມປົກກະຕິ 100% Cyrillic, ຂີ້ເຫຍື້ອດັດແກ້ diluted ກັບ Latin 'a' и 'o'. ຂ້ອຍບໍ່ກ້າທີ່ຈະປຶກສາຫາລືກ່ຽວກັບວິທີນີ້ຜົນກະທົບຕໍ່ SEO, ແຕ່ມັນບໍ່ຫນ້າຈະເປັນໄປໄດ້ວ່າຕົວຫນັງສືດັ່ງກ່າວຈະມີຜົນກະທົບທາງບວກຕໍ່ຕໍາແຫນ່ງໃນຜົນການຄົ້ນຫາ.

ຂ້ອຍສາມາດເວົ້າຫຍັງໄດ້, ຄົນທີ່ມີຈິນຕະນາການ.

ເອກະສານ

ການດີບັກກັບ GDB
gdb(1) — ຫນ້າ Linux man
strace(1) — ຫນ້າ Linux man
Nginx - ໂມດູນ ngx_http_sub_module
ກ່ຽວກັບ saws, chainsaws ແລະ saws ໄຟຟ້າ

ແຫຼ່ງຂໍ້ມູນ: www.habr.com