'എ' എന്നത് 'എ' എന്നതിന് തുല്യമല്ലാത്തപ്പോൾ. ഒരു ഹാക്കിന്റെ പശ്ചാത്തലത്തിൽ

എന്റെ ഒരു സുഹൃത്തിന് ഏറ്റവും അസുഖകരമായ ഒരു കഥ സംഭവിച്ചു. എന്നാൽ അത് മിഖായേലിന് എത്ര അസുഖകരമായി മാറിയോ, അത് എന്നെ സംബന്ധിച്ചിടത്തോളം വിനോദമായിരുന്നു.

എന്റെ സുഹൃത്ത് സമർത്ഥനാണെന്ന് ഞാൻ പറയണം യുണിക്സ്-ഉപയോക്താവ്: സിസ്റ്റം സ്വയം ഇൻസ്റ്റാൾ ചെയ്യാൻ കഴിയും ക്യു, PHP കൂടാതെ ലളിതമായ ക്രമീകരണങ്ങൾ ഉണ്ടാക്കുക nginx.
നിർമ്മാണ ഉപകരണങ്ങൾക്കായി സമർപ്പിച്ചിരിക്കുന്ന ഒരു ഡസനോ ഒന്നോ ഒന്നര വെബ്‌സൈറ്റുകളും അദ്ദേഹത്തിന് ഉണ്ട്.

ചെയിൻസോകൾക്കായി സമർപ്പിച്ചിരിക്കുന്ന ഈ സൈറ്റുകളിലൊന്ന് സെർച്ച് എഞ്ചിനുകളുടെ ടോപ്പിൽ ഉറച്ചുനിൽക്കുന്നു. ഈ സൈറ്റ് ഒരു നോൺ-കൊമേഴ്‌സ്യൽ റിവ്യൂവറാണ്, എന്നാൽ ആരോ അതിനെ ആക്രമിക്കുന്നത് ശീലമാക്കി. അത് DDoS, പിന്നെ ക്രൂരമായ ബലപ്രയോഗം, തുടർന്ന് അവർ അശ്ലീല കമന്റുകൾ എഴുതുകയും ഹോസ്റ്റിംഗിനും RKN നും അധിക്ഷേപങ്ങൾ അയയ്ക്കുകയും ചെയ്യുന്നു.
പെട്ടെന്ന്, എല്ലാം ശാന്തമായി, ഈ ശാന്തത നല്ലതല്ലെന്ന് തെളിഞ്ഞു, സൈറ്റ് ക്രമേണ തിരയൽ ഫലങ്ങളുടെ മുകളിലെ വരികൾ ഉപേക്ഷിക്കാൻ തുടങ്ങി.

അതൊരു ചൊല്ലായിരുന്നു, പിന്നെ അഡ്മിന്റെ കഥ തന്നെ.

ഉറങ്ങാൻ സമയമായപ്പോൾ ഫോൺ റിംഗ് ചെയ്തു: “സാൻ, നീ എന്റെ സെർവറിൽ നോക്കില്ലേ? ഞാൻ ഹാക്ക് ചെയ്യപ്പെട്ടതായി എനിക്ക് തോന്നുന്നു, എനിക്ക് അത് തെളിയിക്കാൻ കഴിയില്ല, പക്ഷേ മൂന്നാം ആഴ്ചയും ആ തോന്നൽ എന്നെ വിട്ടുപോയിട്ടില്ല. ഒരുപക്ഷേ എനിക്ക് ഭ്രമാത്മകതയ്ക്ക് ചികിത്സ ലഭിക്കാനുള്ള സമയമായിരിക്കുമോ?"

തുടർന്ന് നടന്നത് അരമണിക്കൂർ നീണ്ട ചർച്ചയാണ്, അതിനെ ഇങ്ങനെ സംഗ്രഹിക്കാം:

• ഹാക്കിംഗിനുള്ള മണ്ണ് തികച്ചും ഫലഭൂയിഷ്ഠമായിരുന്നു;
• ഒരു ആക്രമണകാരിക്ക് സൂപ്പർ യൂസർ അവകാശങ്ങൾ നേടാനാകും;
• ആക്രമണം (അത് നടന്നിട്ടുണ്ടെങ്കിൽ) ഈ സൈറ്റിനെ പ്രത്യേകമായി ലക്ഷ്യം വച്ചുള്ളതാണ്;
• പ്രശ്നമുള്ള പ്രദേശങ്ങൾ ശരിയാക്കി, എന്തെങ്കിലും നുഴഞ്ഞുകയറ്റമുണ്ടോ എന്ന് നിങ്ങൾ മനസ്സിലാക്കേണ്ടതുണ്ട്;
• സൈറ്റ് കോഡിനെയും ഡാറ്റാബേസുകളെയും ഹാക്ക് ബാധിക്കില്ല.

അവസാന പോയിന്റ് സംബന്ധിച്ച്.

വൈറ്റ് ഫ്രണ്ട്‌എൻഡ് ഐപി മാത്രമേ ലോകത്തെ നോക്കൂ. http(കൾ) ഒഴികെ ബാക്കെൻഡുകളും ഫ്രണ്ട്‌എൻഡും തമ്മിൽ ഒരു കൈമാറ്റവുമില്ല, ഉപയോക്താക്കൾ/പാസ്‌വേഡുകൾ വ്യത്യസ്തമാണ്, കീകളൊന്നും കൈമാറ്റം ചെയ്തിട്ടില്ല. ചാരനിറത്തിലുള്ള വിലാസങ്ങളിൽ, 80/443 ഒഴികെയുള്ള എല്ലാ പോർട്ടുകളും അടച്ചിരിക്കുന്നു. വൈറ്റ് ബാക്കെൻഡ് ഐപികൾ മിഖായേൽ പൂർണ്ണമായും വിശ്വസിക്കുന്ന രണ്ട് ഉപയോക്താക്കൾക്ക് മാത്രമേ അറിയൂ.

മുൻവശത്ത് ഇൻസ്റ്റാൾ ചെയ്തു ഡെബിയന് 9 കോൾ ചെയ്യുമ്പോഴേക്കും, ഒരു ബാഹ്യ ഫയർവാൾ ഉപയോഗിച്ച് സിസ്റ്റം ലോകത്തിൽ നിന്ന് വേർപെടുത്തുകയും നിർത്തുകയും ചെയ്യും.

“ശരി, എനിക്ക് ആക്‌സസ് തരൂ,” ഒരു മണിക്കൂർ ഉറക്കം മാറ്റിവെക്കാൻ ഞാൻ തീരുമാനിച്ചു. "ഞാൻ സ്വന്തം കണ്ണുകൊണ്ട് കാണും."

ഇവിടെയും പിന്നെയും:

$ grep -F PRETTY_NAME /etc/*releas*
PRETTY_NAME="Debian GNU/Linux 9 (stretch)"
$ `echo $SHELL` --version
GNU bash, version 4.4.12(1)-release (x86_64-pc-linux-gnu)
$ nginx -v
nginx version: nginx/1.10.3
$ gdb --version
GNU gdb (Debian 8.2.1-2) 8.2.1

സാധ്യമായ ഹാക്കിനായി തിരയുന്നു

ഞാൻ ആദ്യം സെർവർ ആരംഭിക്കുന്നു റെസ്ക്യൂ-മോഡ്. ഞാൻ ഡിസ്കുകൾ മൌണ്ട് ചെയ്യുകയും അവയിലൂടെ ഫ്ലിപ്പുചെയ്യുകയും ചെയ്യുന്നു അംഗീകാരം-രേഖകൾ, ചരിത്രം, സിസ്റ്റം ലോഗുകൾ മുതലായവ, സാധ്യമെങ്കിൽ, ഫയൽ സൃഷ്ടിക്കുന്ന തീയതികൾ ഞാൻ പരിശോധിക്കുന്നു, എന്നിരുന്നാലും ഒരു സാധാരണ ക്രാക്കർ തനിക്കുശേഷം "തൂത്തുവാരുമെന്ന്" ഞാൻ മനസ്സിലാക്കുന്നു, കൂടാതെ മിഷ തന്നെത്തന്നെ തിരയുന്നതിനിടയിൽ ഇതിനകം തന്നെ ഒരുപാട് "ചവിട്ടിയിരുന്നു". .

ഞാൻ സാധാരണ മോഡിൽ ആരംഭിക്കുന്നു, എന്താണ് തിരയേണ്ടതെന്ന് ഇതുവരെ മനസ്സിലായിട്ടില്ല, ഞാൻ കോൺഫിഗേഷനുകൾ പഠിക്കുന്നു. ഒന്നാമതായി, എനിക്ക് താൽപ്പര്യമുണ്ട് nginx കാരണം, പൊതുവേ, മുൻവശത്ത് ഇതല്ലാതെ മറ്റൊന്നില്ല.
കോൺഫിഗറേഷനുകൾ ചെറുതാണ്, ഒരു ഡസൻ ഫയലുകളായി നന്നായി ക്രമീകരിച്ചിരിക്കുന്നു, ഞാൻ അവയിലൂടെ നോക്കുന്നു പൂച്ച'ഓ ഒന്നൊന്നായി. എല്ലാം ശുദ്ധമാണെന്ന് തോന്നുന്നു, പക്ഷേ എനിക്ക് എന്തെങ്കിലും നഷ്ടമായോ എന്ന് നിങ്ങൾക്കറിയില്ല ഉൾപ്പെടുന്നു, ഞാൻ ഒരു പൂർണ്ണ ലിസ്റ്റിംഗ് ഉണ്ടാക്കട്ടെ:

$ nginx -T
nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok
nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful

എനിക്ക് മനസ്സിലായില്ല: "ലിസ്റ്റിംഗ് എവിടെ?"

$ nginx -V
nginx version: nginx/1.10.3
TLS SNI support enabled
configure arguments: --with-cc-opt='-g -O2' --with-ld-opt='-Wl,-z,relro -Wl,-z,now' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-ipv6 --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_addition_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_sub_module --with-stream=dynamic --with-stream_ssl_module --with-mail=dynamic --with-mail_ssl_module

ലിസ്റ്റിംഗ് ചോദ്യത്തിലേക്ക് രണ്ടാമത്തെ ചോദ്യം ചേർത്തു: "എന്തുകൊണ്ടാണ് nginx-ന്റെ ഇത്രയും പുരാതന പതിപ്പ്?"

കൂടാതെ, ഏറ്റവും പുതിയ പതിപ്പ് ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടെന്ന് സിസ്റ്റം വിശ്വസിക്കുന്നു:

$ dpkg -l nginx | grep "[n]ginx"
ii  nginx          1.14.2-2+deb10u1 all          small, powerful, scalable web/proxy server

ഞാൻ വിളിക്കുന്നു:
- മിഷ, എന്തുകൊണ്ടാണ് നിങ്ങൾ വീണ്ടും ഒത്തുചേർന്നത് nginx?
- കാത്തിരിക്കൂ, ഇത് എങ്ങനെ ചെയ്യണമെന്ന് എനിക്കറിയില്ല!
- ശരി, ഉറങ്ങൂ ...

നിക്കിക്സ് ഇത് വ്യക്തമായി പുനർനിർമ്മിക്കുകയും "-T" ഉപയോഗിച്ചുള്ള ലിസ്റ്റിംഗിന്റെ ഔട്ട്പുട്ട് ഒരു കാരണത്താൽ മറയ്ക്കുകയും ചെയ്യുന്നു. ഹാക്കിംഗിനെക്കുറിച്ച് ഇനി സംശയങ്ങളൊന്നുമില്ല, നിങ്ങൾക്ക് അത് സ്വീകരിക്കാം കൂടാതെ (മിഷ ഏതായാലും സെർവറിനെ പുതിയൊരെണ്ണം ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിച്ചതിനാൽ) പ്രശ്നം പരിഹരിച്ചതായി പരിഗണിക്കുക.

തീർച്ചയായും, ആർക്കെങ്കിലും അവകാശങ്ങൾ ലഭിച്ചതിനാൽ വേര്'അയ്യോ, അങ്ങനെ ചെയ്യുന്നതിൽ അർത്ഥമുണ്ട് സിസ്റ്റം വീണ്ടും ഇൻസ്റ്റാൾ, അവിടെ എന്താണ് കുഴപ്പം എന്ന് നോക്കിയിട്ട് കാര്യമില്ല, പക്ഷേ ഇത്തവണ ജിജ്ഞാസ ഉറക്കത്തെ പരാജയപ്പെടുത്തി. അവർ നമ്മിൽ നിന്ന് എന്താണ് മറയ്ക്കാൻ ആഗ്രഹിച്ചതെന്ന് നമുക്ക് എങ്ങനെ കണ്ടെത്താനാകും?

നമുക്ക് കണ്ടെത്താൻ ശ്രമിക്കാം:

$ strace nginx -T

ഞങ്ങൾ അത് നോക്കുന്നു, ട്രെയ്‌സ് എ ലായിൽ മതിയായ വരികൾ ഇല്ല

write(1, "/etc/nginx/nginx.conf", 21/etc/nginx/nginx.conf)   = 21
write(1, "...
write(1, "n", 1

രസകരമായി, കണ്ടെത്തലുകൾ താരതമ്യം ചെയ്യാം.

$ strace nginx -T 2>&1 | wc -l
264
$ strace nginx -t 2>&1 | wc -l
264

കോഡിന്റെ ഭാഗമാണെന്ന് ഞാൻ കരുതുന്നു /src/core/nginx.c

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 1;
                break;

ഫോമിലേക്ക് കൊണ്ടുവന്നു:

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                //ngx_dump_config = 1;
                break;

അഥവാ

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 0;
                break;

അതിനാൽ "-T" യുടെ ലിസ്റ്റിംഗ് ദൃശ്യമാകുന്നില്ല.

എന്നാൽ ഞങ്ങളുടെ കോൺഫിഗറേഷൻ എങ്ങനെ കാണാനാകും?

എന്റെ ചിന്ത ശരിയാണെങ്കിൽ പ്രശ്നം വേരിയബിളിൽ മാത്രമാണെങ്കിൽ ngx_dump_config ഉപയോഗിച്ച് ഇത് ഇൻസ്റ്റാൾ ചെയ്യാൻ ശ്രമിക്കാം ജിഡിബി, ഭാഗ്യവശാൽ ഒരു താക്കോൽ ഉണ്ട് --with-cc-opt -g അവതരിപ്പിക്കുകയും ഒപ്റ്റിമൈസേഷൻ പ്രതീക്ഷിക്കുകയും ചെയ്യുന്നു -O2 അത് ഞങ്ങളെ ഉപദ്രവിക്കില്ല. അതേ സമയം, എങ്ങനെയെന്ന് എനിക്കറിയില്ല ngx_dump_config പ്രോസസ് ചെയ്യാവുന്നതാണ് കേസ് 'ടി':, ഞങ്ങൾ ഈ ബ്ലോക്കിനെ വിളിക്കില്ല, എന്നാൽ ഇത് ഉപയോഗിച്ച് ഇൻസ്റ്റാൾ ചെയ്യുക കേസ് 'ടി':

എന്തുകൊണ്ട് നിങ്ങൾക്ക് '-t', '-T' എന്നിവ ഉപയോഗിക്കാംബ്ലോക്ക് പ്രോസസ്സിംഗ് എങ്കിൽ(ngx_dump_config) ഉള്ളിൽ സംഭവിക്കുന്നു എങ്കിൽ(ngx_test_config):

    if (ngx_test_config) {
        if (!ngx_quiet_mode) {
            ngx_log_stderr(0, "configuration file %s test is successful",
                           cycle->conf_file.data);
        }

        if (ngx_dump_config) {
            cd = cycle->config_dump.elts;

            for (i = 0; i < cycle->config_dump.nelts; i++) {

                ngx_write_stdout("# configuration file ");
                (void) ngx_write_fd(ngx_stdout, cd[i].name.data,
                                    cd[i].name.len);
                ngx_write_stdout(":" NGX_LINEFEED);

                b = cd[i].buffer;

                (void) ngx_write_fd(ngx_stdout, b->pos, b->last - b->pos);
                ngx_write_stdout(NGX_LINEFEED);
            }
        }

        return 0;
    }

തീർച്ചയായും, ഈ ഭാഗത്ത് കോഡ് മാറ്റുകയാണെങ്കിൽ, അല്ല കേസ് 'ടി':, അപ്പോൾ എന്റെ രീതി പ്രവർത്തിക്കില്ല.

nginx.conf പരീക്ഷിക്കുകഇതിനകം തന്നെ പരീക്ഷണാടിസ്ഥാനത്തിൽ പ്രശ്നം പരിഹരിച്ചതിനാൽ, ക്ഷുദ്രവെയർ പ്രവർത്തിക്കുന്നതിന് മിനിമം കോൺഫിഗറേഷൻ ആവശ്യമാണെന്ന് സ്ഥാപിക്കപ്പെട്ടു. nginx തരം:

events {
}

http {
	include /etc/nginx/sites-enabled/*;
}

ലേഖനത്തിൽ സംക്ഷിപ്തതയ്ക്കായി ഞങ്ങൾ ഇത് ഉപയോഗിക്കും.

ഡീബഗ്ഗർ സമാരംഭിക്കുക

$ gdb --silent --args nginx -t
Reading symbols from nginx...done.
(gdb) break main
Breakpoint 1 at 0x1f390: file src/core/nginx.c, line 188.
(gdb) run
Starting program: nginx -t
[Thread debugging using libthread_db enabled]
Using host libthread_db library "/lib/x86_64-linux-gnu/libthread_db.so.1".

Breakpoint 1, main (argc=2, argv=0x7fffffffebc8) at src/core/nginx.c:188
188     src/core/nginx.c: No such file or directory.
(gdb) print ngx_dump_config=1
$1 = 1
(gdb) continue
Continuing.
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
# configuration file /etc/nginx/nginx.conf:
events {
}

http {
map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

        include /etc/nginx/sites-enabled/*;
}
# configuration file /etc/nginx/sites-enabled/default:

[Inferior 1 (process 32581) exited normally]
(gdb) quit

ഘട്ടങ്ങൾ:

• ഫംഗ്‌ഷനിൽ ഒരു ബ്രേക്ക്‌പോയിന്റ് സജ്ജമാക്കുക പ്രധാന ()
• പ്രോഗ്രാം സമാരംഭിക്കുക
• കോൺഫിഗറിൻറെ ഔട്ട്പുട്ട് നിർണ്ണയിക്കുന്ന വേരിയബിളിന്റെ മൂല്യം മാറ്റുക ngx_dump_config=1
• പ്രോഗ്രാം തുടരുക/അവസാനിപ്പിക്കുക

നമുക്ക് കാണാനാകുന്നതുപോലെ, യഥാർത്ഥ കോൺഫിഗറേഷൻ നമ്മുടേതിൽ നിന്ന് വ്യത്യസ്തമാണ്, അതിൽ നിന്ന് ഞങ്ങൾ ഒരു പരാന്നഭോജി കഷണം തിരഞ്ഞെടുക്കുന്നു:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

ക്രമത്തിൽ ഇവിടെ എന്താണ് സംഭവിക്കുന്നതെന്ന് നോക്കാം.

നിശ്ചയിച്ചിരിക്കുന്നു ഉപയോക്തൃ ഏജൻറ്ന്റെ yandex/google:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

സേവന പേജുകൾ ഒഴിവാക്കിയിരിക്കുന്നു വേർഡ്പ്രസ്സ്:

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

കൂടാതെ മേൽപ്പറഞ്ഞ രണ്ട് വ്യവസ്ഥകളിലും പെടുന്നവർക്കും

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

വാചകത്തിൽ HTML- പേജുകൾ മാറുന്നു 'ഓ' ഓൺ 'o' и 'എ' ഓൺ 'a':

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

ശരിയാണ്, അത് മാത്രമാണ് സൂക്ഷ്മത 'a' != 'a' പോലെ 'o' != 'o':

അങ്ങനെ, സെർച്ച് എഞ്ചിൻ ബോട്ടുകൾക്ക് സാധാരണ 100% സിറിലിക് വാചകത്തിന് പകരം ലാറ്റിൻ ഉപയോഗിച്ച് ലയിപ്പിച്ച പരിഷ്കരിച്ച മാലിന്യങ്ങൾ ലഭിക്കും. 'a' и 'o'. ഇത് എസ്‌ഇ‌ഒയെ എങ്ങനെ ബാധിക്കുന്നു എന്ന് ചർച്ച ചെയ്യാൻ ഞാൻ ധൈര്യപ്പെടുന്നില്ല, പക്ഷേ അത്തരം അക്ഷരങ്ങളുടെ ഒരു കൂട്ടം തിരയൽ ഫലങ്ങളിലെ സ്ഥാനങ്ങളിൽ നല്ല സ്വാധീനം ചെലുത്താൻ സാധ്യതയില്ല.

എനിക്ക് എന്ത് പറയാൻ കഴിയും, ഭാവനയുള്ളവരേ.

റെഫറൻസുകൾ

GDB ഉപയോഗിച്ച് ഡീബഗ്ഗിംഗ്
gdb(1) — Linux മാൻ പേജ്
strace(1) — Linux മാൻ പേജ്
Nginx - മൊഡ്യൂൾ ngx_http_sub_module
സോകൾ, ചെയിൻസോകൾ, ഇലക്ട്രിക് സോകൾ എന്നിവയെക്കുറിച്ച്

അവലംബം: www.habr.com