PHP ਪ੍ਰੋਜੈਕਟ ਦੇ ਗਿੱਟ ਰਿਪੋਜ਼ਟਰੀ ਅਤੇ ਉਪਭੋਗਤਾ ਅਧਾਰ ਦੇ ਸਮਝੌਤੇ 'ਤੇ ਰਿਪੋਰਟ ਕਰੋ

ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਉਪਭੋਗਤਾ ਏਜੰਟ ਸਿਰਲੇਖ ਨਾਲ ਬੇਨਤੀ ਭੇਜਣ ਵੇਲੇ ਇੱਕ ਬੈਕਡੋਰ ਐਕਟੀਵੇਟ ਹੋਣ ਦੇ ਨਾਲ ਇੱਕ PHP ਪ੍ਰੋਜੈਕਟ ਦੇ Git ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਦੋ ਖਤਰਨਾਕ ਕਮਿਟਾਂ ਦੀ ਪਛਾਣ ਨਾਲ ਸਬੰਧਤ ਇੱਕ ਘਟਨਾ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਪਹਿਲੇ ਨਤੀਜੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੇ ਗਏ ਹਨ। ਹਮਲਾਵਰਾਂ ਦੀਆਂ ਗਤੀਵਿਧੀਆਂ ਦੇ ਟਰੇਸ ਦਾ ਅਧਿਐਨ ਕਰਨ ਦੇ ਦੌਰਾਨ, ਇਹ ਸਿੱਟਾ ਕੱਢਿਆ ਗਿਆ ਸੀ ਕਿ git.php.net ਸਰਵਰ ਖੁਦ, ਜਿਸ 'ਤੇ git ਰਿਪੋਜ਼ਟਰੀ ਸਥਿਤ ਸੀ, ਨੂੰ ਹੈਕ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ, ਪਰ ਪ੍ਰੋਜੈਕਟ ਡਿਵੈਲਪਰਾਂ ਦੇ ਖਾਤਿਆਂ ਵਾਲੇ ਡੇਟਾਬੇਸ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਸੀ। .

ਇਹ ਸੰਭਵ ਹੈ ਕਿ ਹਮਲਾਵਰ master.php.net ਸਰਵਰ 'ਤੇ DBMS ਵਿੱਚ ਸਟੋਰ ਕੀਤੇ ਉਪਭੋਗਤਾ ਡੇਟਾਬੇਸ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਦੇ ਯੋਗ ਸਨ। master.php.net ਦੀ ਸਮੱਗਰੀ ਪਹਿਲਾਂ ਹੀ ਸਕ੍ਰੈਚ ਤੋਂ ਸਥਾਪਿਤ ਨਵੇਂ main.php.net ਸਰਵਰ 'ਤੇ ਮਾਈਗ੍ਰੇਟ ਕੀਤੀ ਜਾ ਚੁੱਕੀ ਹੈ। php.net ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਲਈ ਵਰਤੇ ਗਏ ਸਾਰੇ ਡਿਵੈਲਪਰ ਪਾਸਵਰਡ ਰੀਸੈਟ ਕੀਤੇ ਗਏ ਸਨ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਬਦਲਣ ਦੀ ਪ੍ਰਕਿਰਿਆ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਪਾਸਵਰਡ ਰਿਕਵਰੀ ਫਾਰਮ ਰਾਹੀਂ ਸ਼ੁਰੂ ਕੀਤੀ ਗਈ ਸੀ। git.php.net ਅਤੇ svn.php.net ਰਿਪੋਜ਼ਟਰੀਆਂ ਸਿਰਫ਼ ਪੜ੍ਹਨ ਲਈ ਹੀ ਰਹਿੰਦੀਆਂ ਹਨ (ਵਿਕਾਸ ਨੂੰ GitHub ਵਿੱਚ ਭੇਜ ਦਿੱਤਾ ਗਿਆ ਹੈ)।

PHP ਦੇ ਸੰਸਥਾਪਕ, Rasmus Lerdorf ਦੇ ਖਾਤੇ ਰਾਹੀਂ ਕੀਤੀ ਗਈ ਪਹਿਲੀ ਖਤਰਨਾਕ ਵਚਨਬੱਧਤਾ ਦੀ ਖੋਜ ਤੋਂ ਬਾਅਦ, ਇਹ ਮੰਨਿਆ ਗਿਆ ਸੀ ਕਿ ਉਸਦਾ ਖਾਤਾ ਹੈਕ ਕਰ ਲਿਆ ਗਿਆ ਸੀ ਅਤੇ ਨਿਕਿਤਾ ਪੋਪੋਵ, ਪ੍ਰਮੁੱਖ PHP ਡਿਵੈਲਪਰਾਂ ਵਿੱਚੋਂ ਇੱਕ, ਨੇ ਤਬਦੀਲੀਆਂ ਨੂੰ ਵਾਪਸ ਲਿਆ ਅਤੇ ਪ੍ਰਤੀਬੱਧ ਅਧਿਕਾਰਾਂ ਨੂੰ ਬਲੌਕ ਕੀਤਾ। ਸਮੱਸਿਆ ਵਾਲਾ ਖਾਤਾ। ਕੁਝ ਸਮੇਂ ਬਾਅਦ, ਇਹ ਅਹਿਸਾਸ ਹੋਇਆ ਕਿ ਬਲੌਕਿੰਗ ਦਾ ਕੋਈ ਮਤਲਬ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਇੱਕ ਡਿਜੀਟਲ ਦਸਤਖਤ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਵਚਨਬੱਧਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੇ ਬਿਨਾਂ, php-src ਰਿਪੋਜ਼ਟਰੀ ਤੱਕ ਪਹੁੰਚ ਵਾਲਾ ਕੋਈ ਵੀ ਭਾਗੀਦਾਰ ਇੱਕ ਫਰਜ਼ੀ ਲੇਖਕ ਦੇ ਨਾਮ ਨੂੰ ਬਦਲ ਕੇ ਤਬਦੀਲੀ ਕਰ ਸਕਦਾ ਹੈ।

ਅੱਗੇ, ਹਮਲਾਵਰਾਂ ਨੇ ਖੁਦ ਨਿਕਿਤਾ ਦੀ ਤਰਫੋਂ ਇੱਕ ਬਦਤਮੀਜ਼ੀ ਕੀਤੀ। ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਗਿਟੋਲਾਈਟ ਸੇਵਾ ਦੇ ਲੌਗਸ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਕੇ, ਭਾਗੀਦਾਰ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਗਈ ਸੀ ਜਿਸ ਨੇ ਅਸਲ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਕੀਤੀਆਂ ਸਨ। ਸਾਰੀਆਂ ਕਮਿਟਾਂ ਲਈ ਲੇਖਾ ਜੋਖਾ ਸ਼ਾਮਲ ਕਰਨ ਦੇ ਬਾਵਜੂਦ, ਦੋ ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਲਈ ਲੌਗ ਵਿੱਚ ਕੋਈ ਐਂਟਰੀਆਂ ਨਹੀਂ ਸਨ। ਇਹ ਸਪੱਸ਼ਟ ਹੋ ਗਿਆ ਕਿ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦਾ ਸਮਝੌਤਾ ਸੀ, ਕਿਉਂਕਿ ਕਮਿਟ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਸਨ, ਗੀਟੋਲਾਈਟ ਦੁਆਰਾ ਕੁਨੈਕਸ਼ਨ ਨੂੰ ਬਾਈਪਾਸ ਕਰਦੇ ਹੋਏ।

git.php.net ਸਰਵਰ ਨੂੰ ਤੁਰੰਤ ਅਯੋਗ ਕਰ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਪ੍ਰਾਇਮਰੀ ਰਿਪੋਜ਼ਟਰੀ ਨੂੰ GitHub ਵਿੱਚ ਤਬਦੀਲ ਕਰ ਦਿੱਤਾ ਗਿਆ ਸੀ। ਕਾਹਲੀ ਵਿੱਚ, ਇਹ ਭੁੱਲ ਗਿਆ ਸੀ ਕਿ ਰਿਪੋਜ਼ਟਰੀ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਲਈ, ਗੀਟੋਲਾਈਟ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ SSH ਤੋਂ ਇਲਾਵਾ, ਇੱਕ ਹੋਰ ਇਨਪੁਟ ਸੀ ਜੋ ਤੁਹਾਨੂੰ HTTPS ਦੁਆਰਾ ਕਮਿਟ ਭੇਜਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਸੀ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, git-http-ਬੈਕਐਂਡ ਦੀ ਵਰਤੋਂ Git ਨਾਲ ਇੰਟਰੈਕਟ ਕਰਨ ਲਈ ਕੀਤੀ ਗਈ ਸੀ, ਅਤੇ Apache2 HTTP ਸਰਵਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰਮਾਣਿਕਤਾ ਕੀਤੀ ਗਈ ਸੀ, ਜੋ master.php.net ਸਰਵਰ 'ਤੇ DBMS ਵਿੱਚ ਹੋਸਟ ਕੀਤੇ ਡੇਟਾਬੇਸ ਤੱਕ ਪਹੁੰਚ ਕਰਕੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ। ਲੌਗਇਨ ਦੀ ਇਜਾਜ਼ਤ ਨਾ ਸਿਰਫ਼ ਕੁੰਜੀਆਂ ਨਾਲ, ਸਗੋਂ ਇੱਕ ਨਿਯਮਤ ਪਾਸਵਰਡ ਨਾਲ ਵੀ ਦਿੱਤੀ ਗਈ ਸੀ। http ਸਰਵਰ ਲੌਗਸ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੇ ਪੁਸ਼ਟੀ ਕੀਤੀ ਹੈ ਕਿ HTTPS ਦੁਆਰਾ ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਸ਼ਾਮਲ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ।

ਜਦੋਂ ਲੌਗਸ ਦਾ ਅਧਿਐਨ ਕੀਤਾ ਗਿਆ, ਤਾਂ ਇਹ ਸਾਹਮਣੇ ਆਇਆ ਕਿ ਹਮਲਾਵਰਾਂ ਨੇ ਪਹਿਲੀ ਵਾਰ ਕਨੈਕਟ ਨਹੀਂ ਕੀਤਾ, ਪਰ ਸ਼ੁਰੂ ਵਿੱਚ ਖਾਤੇ ਦਾ ਨਾਮ ਲੱਭਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ, ਪਰ ਇਸ ਦੀ ਪਛਾਣ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਉਨ੍ਹਾਂ ਨੇ ਪਹਿਲੀ ਕੋਸ਼ਿਸ਼ ਵਿੱਚ ਲੌਗਇਨ ਕੀਤਾ, ਯਾਨੀ. ਉਹ ਰੈਸਮਸ ਅਤੇ ਨਿਕਿਤਾ ਦੇ ਪਾਸਵਰਡ ਪਹਿਲਾਂ ਤੋਂ ਜਾਣਦੇ ਸਨ, ਪਰ ਉਹਨਾਂ ਦੇ ਲੌਗਇਨ ਨਹੀਂ ਜਾਣਦੇ ਸਨ। ਜੇਕਰ ਹਮਲਾਵਰ DBMS ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੇ ਯੋਗ ਸਨ, ਤਾਂ ਇਹ ਅਸਪਸ਼ਟ ਹੈ ਕਿ ਉਹਨਾਂ ਨੇ ਤੁਰੰਤ ਉੱਥੇ ਦਿੱਤੇ ਸਹੀ ਲੌਗਇਨ ਦੀ ਵਰਤੋਂ ਕਿਉਂ ਨਹੀਂ ਕੀਤੀ। ਇਸ ਮਤਭੇਦ ਦਾ ਅਜੇ ਤੱਕ ਕੋਈ ਭਰੋਸੇਯੋਗ ਸਪੱਸ਼ਟੀਕਰਨ ਨਹੀਂ ਮਿਲਿਆ ਹੈ। master.php.net ਦੇ ਹੈਕ ਨੂੰ ਸਭ ਤੋਂ ਸੰਭਾਵਿਤ ਦ੍ਰਿਸ਼ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਸ ਸਰਵਰ ਨੇ ਬਹੁਤ ਪੁਰਾਣੇ ਕੋਡ ਅਤੇ ਇੱਕ ਪੁਰਾਣੇ OS ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਸੀ, ਜੋ ਲੰਬੇ ਸਮੇਂ ਤੋਂ ਅੱਪਡੇਟ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਇਸ ਵਿੱਚ ਅਣਪਛਾਤੀ ਕਮਜ਼ੋਰੀਆਂ ਸਨ।

ਕੀਤੀਆਂ ਕਾਰਵਾਈਆਂ ਵਿੱਚ master.php.net ਸਰਵਰ ਵਾਤਾਵਰਣ ਦੀ ਮੁੜ ਸਥਾਪਨਾ ਅਤੇ PHP 8 ਦੇ ਨਵੇਂ ਸੰਸਕਰਣ ਵਿੱਚ ਸਕ੍ਰਿਪਟਾਂ ਦਾ ਤਬਾਦਲਾ ਸ਼ਾਮਲ ਹੈ। DBMS ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਕੋਡ ਨੂੰ ਪੈਰਾਮੀਟਰਾਈਜ਼ਡ ਪੁੱਛਗਿੱਛਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਸੋਧਿਆ ਗਿਆ ਹੈ ਜੋ SQL ਕੋਡ ਦੇ ਬਦਲ ਨੂੰ ਗੁੰਝਲਦਾਰ ਬਣਾਉਂਦੇ ਹਨ। bcrypt ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਡੇਟਾਬੇਸ ਵਿੱਚ ਪਾਸਵਰਡ ਹੈਸ਼ਾਂ ਨੂੰ ਸਟੋਰ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ (ਪਹਿਲਾਂ, ਪਾਸਵਰਡ ਇੱਕ ਭਰੋਸੇਯੋਗ MD5 ਹੈਸ਼ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਟੋਰ ਕੀਤੇ ਜਾਂਦੇ ਸਨ)। ਮੌਜੂਦਾ ਪਾਸਵਰਡ ਰੀਸੈਟ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਤੁਹਾਨੂੰ ਪਾਸਵਰਡ ਰਿਕਵਰੀ ਫਾਰਮ ਰਾਹੀਂ ਨਵਾਂ ਪਾਸਵਰਡ ਸੈੱਟ ਕਰਨ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਕਿਉਂਕਿ HTTPS ਰਾਹੀਂ git.php.net ਅਤੇ svn.php.net ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਨੂੰ MD5 ਹੈਸ਼ਾਂ ਨਾਲ ਜੋੜਿਆ ਗਿਆ ਸੀ, ਇਸ ਲਈ git.php.net ਅਤੇ svn.php.net ਨੂੰ ਸਿਰਫ਼-ਪੜ੍ਹਨ ਵਾਲੇ ਮੋਡ ਵਿੱਚ ਛੱਡਣ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਇਹ ਵੀ ਸਭ ਨੂੰ ਮੂਵ ਕਰਨਾ ਸੀ। ਉਨ੍ਹਾਂ ਲਈ ਬਾਕੀ ਬਚੇ PECL ਐਕਸਟੈਂਸ਼ਨ ਰਿਪੋਜ਼ਟਰੀ GitHub 'ਤੇ, ਮੁੱਖ PHP ਰਿਪੋਜ਼ਟਰੀ ਦੇ ਸਮਾਨ।

ਸਰੋਤ: opennet.ru