This article is an automated machine-translation of an article in English. We know the translation isn't perfect, but we hope it's useful for people who don't read English.

국토 안보부 웹 사이트는 hacktivist 침입에 피해자를 내리는

Filed Under: Featured, Security threats

Hacktivist 그룹 NullCrew는 최근 DHS.GOV 도메인 계층 구조의 웹 사이트에 대한 succesful 침입을 (intrusionette이 더 좋은 단어 일 수도 있지만) 발표했다.

국토 안보부는 물론, 국토 안보부의 미국학과입니다.

intrusionetted 사이트는 studyinthestates.dhs.gov했다가 미국 학교, 대학에서 공부 할 수있을 경우와 외국인이 찾아 있도록하기위한 것.

사이트가 디렉토리 탐색 취약점으로 알려진에 취약했다 것처럼 보입니다.

당신은 당신이 액세스 할 수 있으며,이에서 콘텐츠를 검색 할 수있을 거라고는 상상조차하는 웹 서버의 일부를 탐색 서버를 설득 URL을 구축 곳이야.

웹 서버의 URL http://example.org/private.dat을 통해 사용할 수있는 파일을 호스팅하는, 예를 들어, 상상 만 사용자가 로그인 한에.

서버가 / private.dat에 대한 무단 GET 요청을 볼 수 있다면, 당신은 요청을 거부 할 것 같군요.

하지만 서버는 자체가 예 / subdir /와 같은 파일을 검색 할 수있는 요청에 의해 예를 들어, 속하자하지 않는 조심해야.. / private.dat 대신.

당신이 왼쪽에서 파일 이름을 검사 시작하면 디렉토리 이름 (/ subdir /)이 첫번째가 있기 때문에 그것은 루트 디렉토리에있는 파일을 같이하지 않습니다. 그러나 다음의 ... "나는 순간에 오전 한 부모 디렉토리"를 나타냅니다 /는, 따라서 subdir에 초기 단계 아래쪽을 취소 한 수준 백업 도달.

귀하의 제출 시스템에 이상을 이끌어 경로와 파일 이름은 항상 위험에 직면하고 있습니다. 위쪽으로 등반하여 공격자는 웹 서버의 디렉토리 트리의 기타 - 금지 된 부분으로 "를 - 및 - 이상 및 다운"산재 할 수 있습니다.

정말 나쁜 경우, 공격자는 모두, 그리고 신고 시스템의 나머지 부분에 웹 서버의 디렉토리 트리에 자신을 호이스트 할 수 있습니다.

이 그들에게 운영 체제 자체에 대한 암호 및 구성 파일에 대한 액세스 권한을 부여하거나, 동일한 서버에서 실행중인 다른 소프트웨어를 할 수 있습니다.

위로를 선도하는 파일 이름의 가난한 처리는 미국사이트의 연구에서 무엇이 잘못된 것인지 있었던 것 같습니다.

다운로드 저장소에 대한 책임 PHP 스크립트의 인자 처리에 경솔한이었다 것처럼 보입니다. 종류의 URL :

 http://example.org/known/dir/download.php?file=somename.dat 

이와 같은 요청에 악용 될 수 있습니다 :

 http://example.org/known/dir/download.php?file=../../private.dat 

이, 이건 것, 그것은 외부에서 직접 다운로드 된 경우 차단 된 것보다 파일 내부에서 검색, 웹 서버의 디렉토리 트리에서 위쪽으로 탐색 병 구성된 다운로드 스크립트를 일으켰습니다.

잘못 이제 패치 된 것으로 보이지만 NullCrew는 (그리고 주자들이 여기 될 수 있습니다 가정) 믿을 수 있다면,이 구멍은 확실히 백엔드 데이터베이스 위치 및 비밀번호를 포함하여 워드 프레스 설정 파일을 가져 오는 데 사용되었다. 이 구성 파일은 다음 공개 가능한 드롭 사이트에 게시되었습니다.

미국 웹 사이트에서 연구에 의해 반환 된 HTTP 헤더가 진실을 말하고하는 경우 안타깝게도, 아직 할 좀 더 패치이 있단 말야.

확실히 몇 가지 실수?

이 사이트는 레드햇에서 아파치 2.2.3를 실행하고, PHP 5.3.3 있다고보고합니다. 내가이 쓰기, 해당 버전은 정말 PHP해야 5.3.20 와 아파치 웹 서버 2.2.23 .

왜 2013 년 자신의 웹 서버에 대한 유도 문안 (call to action)으로 사용하지?

  • 여러분이 사용하는 모든 백엔드 (back-end) 구성 요소에 대한 최신 보안 패치로 업데이트되어 있는지 확인합니다. 공격자는 취약점 메일 링리스트를 읽어, 그래서 그들은 이미 패치가 설치되지 않은 서버에 침입하는 방법을 알고.
  • 실행중인 고려 웹 응용 프로그램 방화벽 가짜 또는 위험 수준의 요청에 대해 인바운드 웹 트래픽을 샅 샅히 뒤져하는 (WAF)를. 이은 - 아직 알 수없는 공격으로부터 웹 서버를 보호하는 데 도움이됩니다.
  • 이러한 디렉토리 순회와 같은 트릭을 차단하고 기록되어 있는지 확인하기 위해 귀하의 웹 사이트에 대한 정기적 인 침투 테스트를 수행합니다.

웹 서버 로그에서 간단하게 살펴 거의 확실의 큰 번호 (아마도 자동) 공격자의 희망은 방어 지난 나가자 그런 이상한 모양의 URL에 기반 공격 밝혀 줄 것이다.

이 경우, 심지어는 당신이 공격을받을 수 있습니다 때의의 문제 아닙니다. 당신은 인바운드 웹 요청을 초대 할 경우, 당신은 공격을 받고 이미이야!

집에서 웹 서버를 실행?

왜 무료로 사용해보세요되지 소포스 UTM Home Edition을 ?

최대 50 IP 주소에 대해 웹과 이메일 필터링, 웹 애플리케이션 방화벽, IPS, VPN 등을 얻을. 당신은 또한 소포스 안티 바이러스를 사용하여 네트워크에서 12 윈도우 PC까지 보호 할 수 있습니다!

(참고 :. 등록 필요)

You might like

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

About the author

Paul Ducklin is a passionate security proselytiser. (That's like an evangelist, but more so!) He lives and breathes computer security, and would be happy for you to do so, too. Paul won the inaugural AusCERT Director's Award for Individual Excellence in Computer Security in 2009. Follow him on Twitter: @duckblog