PHP परियोजनाको git भण्डार र प्रयोगकर्ता आधारको सम्झौतामा रिपोर्ट गर्नुहोस्

विशेष रूपमा डिजाइन गरिएको प्रयोगकर्ता एजेन्ट हेडरको साथ अनुरोध पठाउँदा ब्याकडोर सक्रिय भएको PHP प्रोजेक्टको Git भण्डारमा दुई मालिसियस कमिटहरूको पहिचानसँग सम्बन्धित घटनाको विश्लेषणको पहिलो नतिजा प्रकाशित गरिएको छ। आक्रमणकारीहरूको गतिविधिहरूको ट्रेसहरूको अध्ययनको क्रममा, यो निष्कर्षमा पुग्यो कि git.php.net सर्भर आफैं, जसमा git भण्डार अवस्थित थियो, ह्याक गरिएको थिएन, तर परियोजना विकासकर्ताहरूको खाताहरूसँगको डाटाबेसमा सम्झौता गरिएको थियो। ।

यो सम्भव छ कि आक्रमणकारीहरूले master.php.net सर्भरमा DBMS मा भण्डारण गरिएको प्रयोगकर्ता डाटाबेस डाउनलोड गर्न सक्षम थिए। master.php.net को सामग्री पहिले नै स्क्र्याचबाट स्थापित नयाँ main.php.net सर्भरमा माइग्रेट गरिएको छ। php.net पूर्वाधारमा पहुँच गर्न प्रयोग गरिएका सबै विकासकर्ता पासवर्डहरू रिसेट गरियो र तिनीहरूलाई परिवर्तन गर्ने प्रक्रिया विशेष पासवर्ड रिकभरी फारम मार्फत प्रारम्भ गरियो। git.php.net र svn.php.net रिपोजिटरीहरू पढ्नका लागि मात्र रहन्छन् (विकासलाई GitHub मा सारिएको छ)।

PHP को संस्थापक रासमुस लेर्डर्फको खाता मार्फत गरिएको पहिलो दुर्भावनापूर्ण कमिट पत्ता लागेपछि, यो अनुमान गरिएको थियो कि उनको खाता ह्याक गरिएको थियो र प्रमुख PHP विकासकर्ताहरू मध्ये एक निकिता पोपोभले परिवर्तनहरू फिर्ता गरे र प्रतिबन्ध अधिकारहरू अवरुद्ध गरे। समस्याग्रस्त खाता। केही समय पछि, अनुभूति आयो कि अवरुद्धको कुनै अर्थ छैन, किनकि डिजिटल हस्ताक्षर प्रयोग गरेर कमिटहरूको प्रमाणीकरण बिना, php-src भण्डारमा पहुँच भएको कुनै पनि सहभागीले काल्पनिक लेखकको नाम प्रतिस्थापन गरेर परिवर्तन गर्न सक्छ।

त्यसपछि, आक्रमणकारीहरूले निकिताको तर्फबाट दुर्भावनापूर्ण कमिट पठाए। रिपोजिटरीहरूमा पहुँच व्यवस्थित गर्न प्रयोग गरिएको गिटोलाइट सेवाको लगहरू विश्लेषण गरेर, वास्तवमा परिवर्तनहरू गर्ने सहभागीलाई निर्धारण गर्ने प्रयास गरिएको थियो। सबै कमिटहरूको लागि लेखा समावेशको बावजुद, त्यहाँ दुई खराब परिवर्तनहरूको लागि लगमा कुनै प्रविष्टिहरू थिएनन्। यो स्पष्ट भयो कि त्यहाँ पूर्वाधारको एक सम्झौता थियो, किनकि कमिटहरू सिधै थपिएका थिए, गिटोलाइट मार्फत जडानलाई बाइपास गर्दै।

git.php.net सर्भर तुरुन्तै असक्षम गरियो, र प्राथमिक भण्डार GitHub मा स्थानान्तरण गरियो। हतारमा, यो बिर्सिएको थियो कि भण्डारमा पहुँच गर्न, गिटोलाइट प्रयोग गरेर SSH को अतिरिक्त, त्यहाँ अर्को इनपुट थियो जसले तपाईंलाई HTTPS मार्फत कमिटहरू पठाउन अनुमति दिन्छ। यस अवस्थामा, Git-http-backend Git सँग अन्तरक्रिया गर्न प्रयोग गरिएको थियो, र Apache2 HTTP सर्भर प्रयोग गरेर प्रमाणीकरण गरिएको थियो, जसले master.php.net सर्भरमा DBMS मा होस्ट गरिएको डाटाबेस पहुँच गरेर प्रमाणहरू प्रमाणित गर्यो। लगइन कुञ्जीहरू मात्र होइन, तर नियमित पासवर्डको साथ पनि अनुमति दिइएको थियो। HTTP सर्भर लगहरूको विश्लेषणले HTTPS मार्फत खराब परिवर्तनहरू थपिएको पुष्टि गर्‍यो।

लगहरू अध्ययन गर्दा, यो पत्ता लाग्यो कि आक्रमणकारीहरूले पहिलो पटक जडान गरेनन्, तर सुरुमा खाता नाम खोज्ने प्रयास गरे, तर पहिचान गरेपछि, तिनीहरूले पहिलो प्रयासमा लगइन गरे, अर्थात्। उनीहरूलाई रस्मस र निकिताको पासवर्डहरू पहिल्यै थाहा थियो, तर उनीहरूको लगइनहरू थाहा थिएन। यदि आक्रमणकारीहरूले DBMS मा पहुँच प्राप्त गर्न सक्षम थिए भने, यो स्पष्ट छैन किन तिनीहरूले त्यहाँ निर्दिष्ट सही लगइन प्रयोग गरेनन्। यो विसंगतिले अहिलेसम्म भरपर्दो स्पष्टीकरण प्राप्त गरेको छैन। master.php.net को ह्याकलाई सबैभन्दा सम्भावित परिदृश्य मानिन्छ, किनभने यो सर्भरले धेरै पुरानो कोड र पुरानो OS प्रयोग गरेको छ, जुन लामो समयदेखि अद्यावधिक गरिएको थिएन र अनप्याच गरिएको कमजोरीहरू थिए।

लिइएका कार्यहरूमा master.php.net सर्भर वातावरणको पुन: स्थापना र PHP 8 को नयाँ संस्करणमा लिपिहरू स्थानान्तरण समावेश छ। SQL कोडको प्रतिस्थापनलाई जटिल बनाउने प्यारामिटराइज्ड क्वेरीहरू प्रयोग गर्न DBMS सँग काम गर्ने कोड परिमार्जन गरिएको छ। bcrypt एल्गोरिथ्म डाटाबेसमा पासवर्ड ह्यासहरू भण्डारण गर्न प्रयोग गरिन्छ (पहिले, पासवर्डहरू अविश्वसनीय MD5 ह्यास प्रयोग गरेर भण्डारण गरिएको थियो)। अवस्थित पासवर्डहरू रिसेट गरिएका छन् र तपाईंलाई पासवर्ड रिकभरी फारम मार्फत नयाँ पासवर्ड सेट गर्न प्रेरित गरिन्छ। HTTPS मार्फत git.php.net र svn.php.net रिपोजिटरीहरूमा पहुँच MD5 ह्यासहरूसँग बाँधिएको हुनाले, यो git.php.net र svn.php.net पढ्ने-मात्र मोडमा छोड्ने निर्णय गरियो, र सबै सार्नुहोस्। GitHub मा PECL एक्सटेन्सन रिपोजिटरीहरू बाँकी छन्, मुख्य PHP भण्डार जस्तै।

स्रोत: opennet.ru