PHP प्रकल्पाच्या गिट रेपॉजिटरी आणि वापरकर्ता बेसच्या तडजोडीचा अहवाल द्या

PHP प्रोजेक्टच्या Git रिपॉझिटरीमध्ये दोन दुर्भावनापूर्ण कमिट ओळखण्याशी संबंधित घटनेच्या विश्लेषणाचे पहिले परिणाम प्रकाशित केले गेले आहेत ज्यामध्ये खास डिझाइन केलेल्या वापरकर्ता एजंट शीर्षलेखासह विनंती पाठवताना बॅकडोअर सक्रिय केले गेले आहे. हल्लेखोरांच्या क्रियाकलापांच्या ट्रेसचा अभ्यास करताना, असा निष्कर्ष काढण्यात आला की git.php.net सर्व्हर, ज्यावर git रिपॉजिटरी स्थित आहे, तो हॅक झाला नव्हता, परंतु प्रकल्प विकासकांच्या खात्यांसह डेटाबेसशी तडजोड केली गेली होती. .

हे शक्य आहे की आक्रमणकर्ते master.php.net सर्व्हरवर DBMS मध्ये संग्रहित वापरकर्ता डेटाबेस डाउनलोड करण्यास सक्षम होते. master.php.net ची सामग्री आधीपासून नवीन main.php.net सर्व्हरवर स्थलांतरित केली गेली आहे. php.net इन्फ्रास्ट्रक्चरमध्ये प्रवेश करण्यासाठी वापरलेले सर्व विकसक पासवर्ड रीसेट केले गेले आणि त्यांना बदलण्याची प्रक्रिया विशेष पासवर्ड पुनर्प्राप्ती फॉर्मद्वारे सुरू करण्यात आली. git.php.net आणि svn.php.net रेपॉजिटरीज केवळ वाचनीय आहेत (विकास GitHub वर हलविला गेला आहे).

PHP चे संस्थापक रासमुस लेर्डॉर्फ यांच्या खात्यातून प्रथम दुर्भावनापूर्ण कमिट केल्याचा शोध लागल्यानंतर, असे गृहीत धरले गेले की त्यांचे खाते हॅक केले गेले होते आणि प्रमुख PHP विकासकांपैकी एक असलेल्या निकिता पोपोव्हने बदल मागे घेतले आणि कमिट अधिकार अवरोधित केले. समस्याग्रस्त खाते. काही काळानंतर, लक्षात आले की अवरोधित करणे अर्थपूर्ण नाही, कारण डिजिटल स्वाक्षरी वापरून कमिटची पडताळणी न करता, php-src रेपॉजिटरीमध्ये प्रवेश असलेला कोणताही सहभागी काल्पनिक लेखकाचे नाव बदलून बदल करू शकतो.

पुढे, हल्लेखोरांनी निकिताच्या वतीने एक दुर्भावनापूर्ण वचन पाठवले. रेपॉजिटरीजमध्ये प्रवेश व्यवस्थापित करण्यासाठी वापरल्या जाणार्‍या गिटोलाइट सेवेच्या लॉगचे विश्लेषण करून, प्रत्यक्षात बदल करणार्‍या सहभागी निश्चित करण्याचा प्रयत्न केला गेला. सर्व कमिटसाठी लेखांकन समाविष्ट असूनही, दोन दुर्भावनापूर्ण बदलांसाठी लॉगमध्ये कोणत्याही नोंदी नाहीत. हे स्पष्ट झाले की पायाभूत सुविधांमध्ये तडजोड होती, कारण कमिट थेट जोडल्या गेल्या, गिटोलाइटद्वारे कनेक्शन बायपास केले गेले.

git.php.net सर्व्हर त्वरित अक्षम केला गेला आणि प्राथमिक भांडार GitHub वर हस्तांतरित केले गेले. घाईत, हे विसरले होते की रेपॉजिटरीमध्ये प्रवेश करण्यासाठी, गिटोलाइट वापरून SSH व्यतिरिक्त, आणखी एक इनपुट आहे ज्याने तुम्हाला HTTPS द्वारे कमिट पाठविण्याची परवानगी दिली. या प्रकरणात, Git सह संवाद साधण्यासाठी git-http-बॅकएंडचा वापर केला गेला आणि Apache2 HTTP सर्व्हर वापरून प्रमाणीकरण केले गेले, ज्याने master.php.net सर्व्हरवरील DBMS मध्ये होस्ट केलेल्या डेटाबेसमध्ये प्रवेश करून क्रेडेन्शियल्स सत्यापित केले. लॉगिनला केवळ किल्लीच नव्हे तर नियमित पासवर्डनेही परवानगी होती. HTTP सर्व्हर लॉगच्या विश्लेषणाने पुष्टी केली की HTTPS द्वारे दुर्भावनापूर्ण बदल जोडले गेले आहेत.

नोंदींचा अभ्यास करताना असे दिसून आले की हल्लेखोरांनी प्रथमच कनेक्ट केलेले नाही, परंतु सुरुवातीला खात्याचे नाव शोधण्याचा प्रयत्न केला, परंतु ते ओळखल्यानंतर, त्यांनी पहिल्या प्रयत्नात लॉग इन केले, म्हणजे. त्यांना रॅस्मस आणि निकिताचे पासवर्ड आधीच माहित होते, परंतु त्यांचे लॉगिन माहित नव्हते. जर हल्लेखोर DBMS मध्ये प्रवेश मिळवण्यात सक्षम होते, तर त्यांनी तेथे निर्दिष्ट केलेले योग्य लॉगिन त्वरित का वापरले नाही हे स्पष्ट नाही. या विसंगतीचे अद्याप विश्वसनीय स्पष्टीकरण मिळालेले नाही. master.php.net ची हॅक ही सर्वात संभाव्य परिस्थिती मानली जाते, कारण या सर्व्हरने खूप जुना कोड आणि कालबाह्य OS वापरला होता, जो बर्याच काळापासून अपडेट केला गेला नव्हता आणि असुरक्षितता होती.

घेतलेल्या कृतींमध्ये master.php.net सर्व्हर वातावरणाची पुनर्स्थापना आणि PHP 8 च्या नवीन आवृत्तीमध्ये स्क्रिप्ट्सचे हस्तांतरण समाविष्ट आहे. एसक्यूएल कोडच्या प्रतिस्थापनास क्लिष्ट करणाऱ्या पॅरामीटराइज्ड क्वेरी वापरण्यासाठी डीबीएमएससह कार्य करण्यासाठी कोड सुधारित केला गेला आहे. डेटाबेसमध्ये पासवर्ड हॅश संचयित करण्यासाठी bcrypt अल्गोरिदमचा वापर केला जातो (पूर्वी, पासवर्ड अविश्वसनीय MD5 हॅश वापरून संग्रहित केले जात होते). विद्यमान पासवर्ड रीसेट केले जातात आणि तुम्हाला पासवर्ड रिकव्हरी फॉर्मद्वारे नवीन पासवर्ड सेट करण्यास सांगितले जाते. HTTPS द्वारे git.php.net आणि svn.php.net रेपॉजिटरीजमध्ये प्रवेश MD5 हॅशशी जोडलेला असल्याने, git.php.net आणि svn.php.net केवळ-वाचनीय मोडमध्ये सोडण्याचा आणि सर्व हलवण्याचा निर्णय घेण्यात आला. त्यांच्यासाठी उर्वरित GitHub वर PECL विस्तार भांडार, मुख्य PHP रेपॉजिटरी प्रमाणेच.

स्त्रोत: opennet.ru