जुलाई में, सुरक्षा शोधकर्ता व्लादिमीर स्मिटका ने चेक और स्लोवाकियन इंटरनेट डोमेन के लिए हाल ही में इसी तरह के ऑडिट के बाद ओपन .git फ़ोल्डर की उपस्थिति के लिए इंटरनेट की जांच करने का फैसला किया।

जैसा कि कहा जाता है: "यह कभी नहीं हुआ, और यहाँ यह फिर से है।" मुझे याद दिला दें, 9 साल पहले, ठीक यही कहानी इंटरनेट के रूसी खंड के साथ थी। खुलेआम सिंड्रोम से प्रभावित। एक चेक शोधकर्ता, उपकरण और विधियों के श्रमसाध्य कार्य के परिणाम निम्नलिखित हैं।

भेद्यता के कारण

। हमलावर निर्देशिका से साइट की सुरक्षा के लिए एक हमलावर काफी महत्वपूर्ण जानकारी आकर्षित कर सकता है। यह एक विशिष्ट परियोजना वृक्ष जैसा दिखता है।

 ├── HEAD ├── branches ├── config ├── description ├── hooks │ ├── pre-commit.sample │ ├── pre-push.sample │ └── ... ├── info │ └── exclude ├── objects │ ├── info │ └── pack └── refs ├── heads └── tags 

विभिन्न एपीआई, डेटाबेस और क्लाउड सेवाओं के पासवर्ड और एक्सेस कीज़ को वहां संग्रहीत किया जा सकता है।

अक्सर, जैसा कि यह होना चाहिए, .git फ़ोल्डर खोलने का प्रयास HTTP 403 त्रुटि फेंकता है, लेकिन इसका कारण केवल index.html / index.php की कमी है और फ़ोल्डर को स्वचालित रूप से अनुक्रमित करने के अधिकार हैं, जबकि व्यक्तिगत फ़ाइलें अभी भी उपलब्ध हैं । यह सुनिश्चित करने के लिए कि साइट असुरक्षित नहीं है, आपको /.git/HEAD पृष्ठ खोलना चाहिए।

इस फ़ाइल में वर्तमान परियोजना शाखा का लिंक है।

 $ cat .git/HEAD ref: refs/heads/master 

यहां तक ​​कि अगर निर्देशिकाओं की स्वचालित अनुक्रमण अक्षम किया गया है, तो आप व्यक्तिगत फ़ाइलों को डाउनलोड करके और नियमित अभिव्यक्ति प्रोसेसर द्वारा निर्भरता निर्धारित करके आसानी से संपूर्ण .git फ़ोल्डर को पुनर्स्थापित कर सकते हैं , क्योंकि .git संरचना स्पष्ट रूप से परिभाषित है। एक विशेष उपकरण भी है - GitTools , जो सभी आवश्यक कार्यों को स्वचालित रूप से करता है।

उत्पादन के साधन

कार्य की जटिलता और महत्वाकांक्षी होने के बावजूद, पैसे के मामले में लागत मामूली थी। सब कुछ के लिए, सब कुछ के बारे में यह 250 अमेरिकी डॉलर ले लिया।

सर्वर

स्मिथका प्रोजेक्ट 18 वीपीएस और 4 भौतिक सर्वर के लिए किराए पर लिया गया। उनके अनुसार, उनकी पसंद इस कारण से एडब्ल्यूएस पर नहीं गिरती है कि सेवा की पूरी लागत, यातायात की अपेक्षित मात्रा, महत्वपूर्ण डिस्क स्थान और उच्च सीपीयू भार को ध्यान में रखते हुए आसानी से गणना नहीं की जा सकती है। किराए के VPS की कीमत पहले से तय थी।

डोमेन की सूची

सूची JSON में OpenData Rapid7 परियोजना के पाठ लॉग पर आधारित है।

 { "$id": "https://opendata.rapid7.com/sonar.fdns_v2/", "type": "object", "definitions": {}, "$schema": "http://json-schema.org/draft-07/schema#", "additionalProperties": false, "properties": { "timestamp": { "$id": "/properties/timestamp", "type": "string", "description": "The time when this response was received in seconds since the epoch" }, "name": { "$id": "/properties/name", "type": "string", "description": "The record name" }, "type": { "$id": "/properties/type", "type": "string", "description": "The record type" }, "value": { "$id": "/properties/value", "type": "string", "description": "The response received for a record of the given name and type" } } } 

TLDs और दूसरे-स्तरीय डोमेन के कुछ फ़िल्टरिंग के बाद, सूची में अभी भी 230 मिलियन से अधिक प्रविष्टियाँ थीं ।

इसके बाद, डेटाबेस को 2 मिलियन रिकॉर्ड के ब्लॉक में विभाजित किया गया था और एक PHP एप्लिकेशन का उपयोग करके लोड को विभिन्न सर्वरों में वितरित किया गया था।

मुलायम

पायथन एक वर्कहॉर्स के रूप में aiohttp के साथ asyncio async संचार पुस्तकालयों से लटका दिया। इन उद्देश्यों के लिए अनुरोधों और Urllib3 का उपयोग करने का एक प्रयास असफल रहा, जिनमें से पूर्व अच्छी तरह से उपयुक्त हो सकता था, लेकिन शोधकर्ता ने प्रलेखन में टाइमआउट को नहीं समझा। दूसरे ने डोमेन पुनर्निर्देशन का सामना नहीं किया, और इस वजह से बहुत जल्द ही सर्वर पर मेमोरी समाप्त हो गई।

मंच और कमजोर साइटों की प्रोफाइल की पहचान करने के लिए, स्मिता ने वाडलीज़र डेटाबेस के आधार पर, WAD उपयोगिता का उपयोग किया - वेब ब्राउज़र के लिए एक एक्सटेंशन जो आपको पृष्ठ पर उपयोग की जाने वाली तकनीकों का निर्धारण करने की अनुमति देता है।

GNU Parallels जैसी सरल कमांड-लाइन उपयोगिताओं का उपयोग हैंडलर के निष्पादन समय को तेज करने और एकल लटका के कारण स्क्रिप्ट को रोकने से रोकने के लिए भी किया गया था।

 cat sites.txt | parallel --bar --tmpdir ./wad --files wad -u {} -f csv 

परिणाम

स्कैन 2 सप्ताह तक चला, परिणामस्वरूप, शोधकर्ता:

• खोजा गया 390 हजार असुरक्षित वेबसाइट;
• 290 हजार ईमेल पते एकत्र किए;
• 90 हजार प्राप्तकर्ताओं को सूचना मिली कि भेद्यता।

अपने प्रयासों के जवाब में, स्मिथका ने प्राप्त किया:

• 18 हजार संदेश वितरण त्रुटियों;
  
  • धन्यवाद के बारे में 2000 पत्र;
  • हनीपोट सिस्टम के साथ 30 झूठे अलार्म;
  • 1 कनाडाई पुलिस को फोन करने की धमकी;

सबसे लोकप्रिय प्रोग्रामिंग भाषा PHP हो गई । हालांकि, यदि आप किसी विशेष PL के सापेक्ष शेयर के परिणाम को सामान्य करते हैं, तो PHP Python और Node.js. के नेतृत्व को रास्ता देता है। हालांकि, यह स्पष्ट नहीं है कि किसी दिए गए प्रोग्रामिंग भाषा के बाजार में हिस्सेदारी का निर्धारण करने के लिए ऐसे आंकड़े कितने विश्वसनीय हो सकते हैं।

अपाचे वेब सर्वर की लोकप्रियता की सूची में सबसे ऊपर है, दूसरे स्थान पर नेग्नेक्स और तीसरे स्थान पर चीनी क्लोन निगेंक्स टेंगाइन है।

सबसे लोकप्रिय ओएस उबंटू था, फिर डेबियन, और सेंटोस तीसरे स्थान पर।

सीएमएस नामांकन लगभग एकल-अभिनेता थिएटर बन गया, और यह अभिनेता वर्डप्रेस है जिसमें सभी प्लेटफॉर्म पाए गए 85% हैं।

आगे क्या है

भेद्यता को सुधारना आसान है।

.htaccess

 RewriteRule "(^|/)\.(?!well-known\/)" - [F] 

.nginx

 location ~ /\.(?!well-known\/) { deny all; } 

apache22.conf

 <Directory ~ "/\.(?!well-known\/)"> Order deny,allow Deny from all </Directory> 

apache24.conf

 <Directory ~ "/\.(?!well-known\/)"> Require all denied </Directory> 

Caddyfile

 status 403 /blockdot rewrite { r /\.(?!well-known\/) to /blockdot }