PHP പ്രോജക്റ്റിന്റെ ജിറ്റ് ശേഖരണത്തിന്റെയും ഉപയോക്തൃ അടിത്തറയുടെയും വിട്ടുവീഴ്ചയെക്കുറിച്ച് റിപ്പോർട്ട് ചെയ്യുക

ഒരു പ്രത്യേകമായി രൂപകല്പന ചെയ്ത യൂസർ ഏജന്റ് ഹെഡർ ഉപയോഗിച്ച് ഒരു അഭ്യർത്ഥന അയയ്‌ക്കുമ്പോൾ സജീവമാക്കിയ ബാക്ക്‌ഡോർ ഉള്ള ഒരു PHP പ്രോജക്റ്റിന്റെ Git റിപ്പോസിറ്ററിയിൽ രണ്ട് ക്ഷുദ്ര കമ്മിറ്റുകൾ തിരിച്ചറിയുന്നതുമായി ബന്ധപ്പെട്ട ഒരു സംഭവത്തിന്റെ വിശകലനത്തിന്റെ ആദ്യ ഫലങ്ങൾ പ്രസിദ്ധീകരിച്ചു. ആക്രമണകാരികളുടെ പ്രവർത്തനങ്ങളുടെ സൂചനകൾ പഠിക്കുന്നതിനിടയിൽ, ജിറ്റ് ശേഖരം സ്ഥിതിചെയ്യുന്ന git.php.net സെർവർ തന്നെ ഹാക്ക് ചെയ്തിട്ടില്ലെന്ന് നിഗമനം ചെയ്തു, പക്ഷേ പ്രോജക്റ്റ് ഡെവലപ്പർമാരുടെ അക്കൗണ്ടുകളുള്ള ഡാറ്റാബേസ് അപഹരിക്കപ്പെട്ടു. .

ആക്രമണകാരികൾക്ക് DBMS-ൽ സംഭരിച്ചിരിക്കുന്ന ഉപയോക്തൃ ഡാറ്റാബേസ് master.php.net സെർവറിൽ ഡൗൺലോഡ് ചെയ്യാൻ കഴിഞ്ഞിരിക്കാം. master.php.net-ന്റെ ഉള്ളടക്കങ്ങൾ ആദ്യം മുതൽ ഇൻസ്റ്റാൾ ചെയ്ത പുതിയ main.php.net സെർവറിലേക്ക് മൈഗ്രേറ്റ് ചെയ്തിട്ടുണ്ട്. php.net ഇൻഫ്രാസ്ട്രക്ചർ ആക്സസ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന എല്ലാ ഡെവലപ്പർ പാസ്‌വേഡുകളും പുനഃസജ്ജമാക്കി, അവ മാറ്റുന്നതിനുള്ള പ്രക്രിയ ഒരു പ്രത്യേക പാസ്‌വേഡ് വീണ്ടെടുക്കൽ ഫോമിലൂടെ ആരംഭിച്ചു. git.php.net, svn.php.net റിപ്പോസിറ്ററികൾ വായിക്കാൻ മാത്രം ശേഷിക്കുന്നു (വികസനം GitHub-ലേക്ക് നീക്കി).

പിഎച്ച്പിയുടെ സ്ഥാപകനായ റാസ്മസ് ലെർഡോർഫിന്റെ അക്കൗണ്ടിലൂടെ നടത്തിയ ആദ്യത്തെ ക്ഷുദ്രകരമായ പ്രതിബദ്ധത കണ്ടെത്തിയതിന് ശേഷം, അദ്ദേഹത്തിന്റെ അക്കൗണ്ട് ഹാക്ക് ചെയ്യപ്പെട്ടതായി അനുമാനിക്കപ്പെട്ടു, കൂടാതെ പ്രധാന പിഎച്ച്പി ഡെവലപ്പർമാരിലൊരാളായ നികിത പോപോവ് മാറ്റങ്ങൾ പിൻവലിക്കുകയും കമ്മിറ്റ് അവകാശങ്ങൾ തടയുകയും ചെയ്തു. പ്രശ്നമുള്ള അക്കൗണ്ട്. കുറച്ച് സമയത്തിന് ശേഷം, തടയുന്നതിൽ അർത്ഥമില്ലെന്ന് മനസ്സിലായി, കാരണം ഒരു ഡിജിറ്റൽ സിഗ്നേച്ചർ ഉപയോഗിച്ച് കമ്മിറ്റുകൾ പരിശോധിക്കാതെ, php-src ശേഖരത്തിലേക്ക് ആക്‌സസ് ഉള്ള ഏതൊരു പങ്കാളിക്കും ഒരു സാങ്കൽപ്പിക രചയിതാവിന്റെ പേര് മാറ്റി പകരം ഒരു മാറ്റം വരുത്താം.

അടുത്തതായി, ആക്രമണകാരികൾ നികിതയ്ക്ക് വേണ്ടി തന്നെ ഒരു ക്ഷുദ്രകരമായ കമ്മിറ്റ് അയച്ചു. റിപ്പോസിറ്ററികളിലേക്കുള്ള ആക്‌സസ് സംഘടിപ്പിക്കാൻ ഉപയോഗിക്കുന്ന ഗിറ്റോലൈറ്റ് സേവനത്തിന്റെ ലോഗുകൾ വിശകലനം ചെയ്യുന്നതിലൂടെ, യഥാർത്ഥത്തിൽ മാറ്റങ്ങൾ വരുത്തിയ പങ്കാളിയെ നിർണ്ണയിക്കാൻ ശ്രമിച്ചു. എല്ലാ പ്രതിബദ്ധതകൾക്കും അക്കൌണ്ടിംഗ് ഉൾപ്പെടുത്തിയിട്ടും, രണ്ട് ക്ഷുദ്ര മാറ്റങ്ങൾക്കായി ലോഗിൽ എൻട്രികളൊന്നും ഉണ്ടായിരുന്നില്ല. ഗിറ്റോലൈറ്റ് വഴിയുള്ള കണക്ഷൻ മറികടന്ന്, കമ്മിറ്റുകൾ നേരിട്ട് ചേർത്തതിനാൽ, അടിസ്ഥാന സൗകര്യങ്ങളുടെ ഒരു വിട്ടുവീഴ്ചയുണ്ടെന്ന് വ്യക്തമായി.

git.php.net സെർവർ ഉടനടി പ്രവർത്തനരഹിതമാക്കി, പ്രാഥമിക ശേഖരം GitHub-ലേക്ക് മാറ്റി. തിടുക്കത്തിൽ, റിപ്പോസിറ്ററി ആക്‌സസ് ചെയ്യാൻ, ഗിറ്റോലൈറ്റ് ഉപയോഗിക്കുന്ന എസ്‌എസ്‌എച്ച് കൂടാതെ, എച്ച്ടിടിപിഎസ് വഴി കമ്മിറ്റുകൾ അയയ്‌ക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന മറ്റൊരു ഇൻപുട്ടും ഉണ്ടെന്ന് മറന്നുപോയി. ഈ സാഹചര്യത്തിൽ, Git-മായി സംവദിക്കാൻ git-http-backend ഉപയോഗിച്ചു, കൂടാതെ Apache2 HTTP സെർവർ ഉപയോഗിച്ച് പ്രാമാണീകരണം നടത്തി, അത് master.php.net സെർവറിലെ DBMS-ൽ ഹോസ്റ്റ് ചെയ്‌തിരിക്കുന്ന ഡാറ്റാബേസ് ആക്‌സസ് ചെയ്‌ത് ക്രെഡൻഷ്യലുകൾ പരിശോധിച്ചു. കീകൾ ഉപയോഗിച്ച് മാത്രമല്ല, ഒരു സാധാരണ പാസ്‌വേഡ് ഉപയോഗിച്ചും ലോഗിൻ അനുവദിച്ചു. HTTPS വഴി ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ ചേർത്തതായി http സെർവർ ലോഗുകളുടെ വിശകലനം സ്ഥിരീകരിച്ചു.

ലോഗുകൾ പഠിക്കുമ്പോൾ, ആക്രമണകാരികൾ ആദ്യമായി കണക്റ്റുചെയ്‌തിട്ടില്ലെന്ന് വെളിപ്പെടുത്തി, എന്നാൽ ആദ്യം അക്കൗണ്ട് പേര് കണ്ടെത്താൻ ശ്രമിച്ചു, പക്ഷേ അത് തിരിച്ചറിഞ്ഞ ശേഷം, അവർ ആദ്യ ശ്രമത്തിൽ തന്നെ ലോഗിൻ ചെയ്തു, അതായത്. റാസ്‌മസിന്റെയും നികിതയുടെയും പാസ്‌വേഡുകൾ അവർക്ക് മുൻകൂട്ടി അറിയാമായിരുന്നു, പക്ഷേ അവരുടെ ലോഗിനുകൾ അറിയില്ലായിരുന്നു. ആക്രമണകാരികൾക്ക് DBMS-ലേക്ക് ആക്‌സസ് നേടാൻ കഴിഞ്ഞെങ്കിൽ, എന്തുകൊണ്ടാണ് അവർ അവിടെ വ്യക്തമാക്കിയ ശരിയായ ലോഗിൻ ഉടൻ ഉപയോഗിക്കാത്തതെന്ന് വ്യക്തമല്ല. ഈ വൈരുദ്ധ്യത്തിന് ഇതുവരെ വിശ്വസനീയമായ വിശദീകരണം ലഭിച്ചിട്ടില്ല. ഈ സെർവർ വളരെ പഴയ കോഡും കാലഹരണപ്പെട്ട ഒഎസും ഉപയോഗിച്ചതിനാൽ, master.php.net-ന്റെ ഹാക്ക് ഏറ്റവും സാധ്യതയുള്ള സാഹചര്യമായി കണക്കാക്കപ്പെടുന്നു, ഇത് വളരെക്കാലമായി അപ്‌ഡേറ്റ് ചെയ്യപ്പെടാത്തതും അൺപാച്ച് ചെയ്യാത്തതുമായ കേടുപാടുകൾ ഉള്ളതുമാണ്.

സ്വീകരിച്ച നടപടികളിൽ master.php.net സെർവർ എൻവയോൺമെന്റ് പുനഃസ്ഥാപിക്കലും PHP 8-ന്റെ പുതിയ പതിപ്പിലേക്ക് സ്ക്രിപ്റ്റുകളുടെ കൈമാറ്റവും ഉൾപ്പെടുന്നു. SQL കോഡിന്റെ പകരക്കാരനെ സങ്കീർണ്ണമാക്കുന്ന പാരാമീറ്ററൈസ്ഡ് അന്വേഷണങ്ങൾ ഉപയോഗിക്കുന്നതിന് DBMS-ൽ പ്രവർത്തിക്കുന്നതിനുള്ള കോഡ് പരിഷ്‌ക്കരിച്ചിരിക്കുന്നു. ഡാറ്റാബേസിൽ പാസ്‌വേഡ് ഹാഷുകൾ സംഭരിക്കുന്നതിന് bcrypt അൽഗോരിതം ഉപയോഗിക്കുന്നു (മുമ്പ്, വിശ്വസനീയമല്ലാത്ത MD5 ഹാഷ് ഉപയോഗിച്ചാണ് പാസ്‌വേഡുകൾ സംഭരിച്ചിരുന്നത്). നിലവിലുള്ള പാസ്‌വേഡുകൾ പുനഃസജ്ജമാക്കി, പാസ്‌വേഡ് വീണ്ടെടുക്കൽ ഫോമിലൂടെ ഒരു പുതിയ പാസ്‌വേഡ് സജ്ജീകരിക്കാൻ നിങ്ങളോട് ആവശ്യപ്പെടും. HTTPS വഴിയുള്ള git.php.net, svn.php.net റിപ്പോസിറ്ററികളിലേക്കുള്ള ആക്‌സസ് MD5 ഹാഷുകളുമായി ബന്ധിപ്പിച്ചതിനാൽ, git.php.net, svn.php.net എന്നിവ റീഡ്-ഒൺലി മോഡിൽ വിടാനും എല്ലാം നീക്കാനും തീരുമാനിച്ചു. പ്രധാന PHP റിപ്പോസിറ്ററിക്ക് സമാനമായി GitHub-ലെ PECL എക്സ്റ്റൻഷൻ റിപ്പോസിറ്ററികൾ അവശേഷിക്കുന്നു.

അവലംബം: opennet.ru