जब 'a' 'a' के बराबर नहीं है। एक हैक के मद्देनजर

एक अप्रिय कहानी मेरे एक मित्र को हुई। लेकिन जहां तक ​​यह मिखाइल के लिए अप्रिय निकला, मेरे लिए यह उतना ही दिलचस्प था।

मुझे कहना होगा कि मेरा दोस्त काफी UNIX उपयोगकर्ता है: वह सिस्टम को स्वयं स्थापित कर सकता है, mysql , php स्थापित कर सकता है और सरलतम nginx सेटिंग्स बना सकता है।
और उसके पास एक दर्जन और डेढ़ साइट हैं जो निर्माण उपकरण के लिए समर्पित हैं।

इन साइटों में से एक, चेनसॉ के लिए समर्पित, शीर्ष खोज इंजनों में कसकर बैठता है। यह साइट एक गैर-लाभकारी समीक्षक है, लेकिन किसी ने उसके गले में आकर उस पर हमला किया है। या तो DDoS , फिर क्रूर बल, फिर टिप्पणियाँ अश्लील लिखेंगे और होस्टिंग और ILV को गालियाँ भेजेंगे।
अचानक, सब कुछ शांत हो गया और यह नीरसता अच्छी नहीं थी, और साइट धीरे-धीरे परिणामों की शीर्ष रेखाओं को छोड़ना शुरू कर दिया।



यह एक कहावत थी, फिर व्यवस्थापक बाइक ही।

फोन बजने पर समय नींद के करीब आ रहा था: “सान्या, तुम मेरे सर्वर को नहीं देखोगी? ऐसा लगता है कि उन्होंने मुझे हैक कर लिया है, मैं इसे साबित नहीं कर सकता, लेकिन भावना को तीसरे हफ्ते भी नहीं छोड़ा है। शायद मुझे सिर्फ व्यामोह का इलाज करवाना है? ”

अगले आधे घंटे की चर्चा हुई जिसे संक्षेप में प्रस्तुत किया जा सकता है:

• प्रजनन भूमि काफी उपजाऊ थी;
• पटाखा सुपरयुसर अधिकार प्राप्त कर सकता है;
• हमला (अगर यह हुआ) विशेष रूप से इस साइट को लक्षित किया गया था;
• समस्या क्षेत्र तय हो गए हैं और आपको केवल यह समझने की ज़रूरत है कि पैठ का तथ्य क्या था;
• हैकिंग साइट कोड और डेटाबेस को नहीं छू सकता है।

आखिरी पैराग्राफ के बारे में।



दुनिया में सिर्फ व्हाइट आईपी फ्रंटेंड दिख रहा है। Http (s) को छोड़कर बैकएंड और फ्रंटेंड के बीच कोई विनिमय नहीं है, उपयोगकर्ता / पासवर्ड अलग-अलग हैं, कुंजियों का आदान-प्रदान नहीं किया जाता है। ग्रे पते पर, 80/443 को छोड़कर सभी पोर्ट बंद हैं। व्हाइट आईपी बैकएंड केवल दो उपयोगकर्ताओं के लिए जाना जाता है जिन पर माइकल पूरी तरह से भरोसा करते हैं।

डेबियन 9 सामने के छोर पर स्थापित है और कॉल के समय तक सिस्टम बाहरी फ़ायरवॉल द्वारा दुनिया से अलग हो जाता है और बंद हो जाता है।

"ठीक है, मुझे पहुँच दो," मैं एक घंटे के लिए नींद को स्थगित करने का फैसला करता हूं। "मैं अपनी आँखों से देखूँगा।"

बाद में:

$ grep -F PRETTY_NAME /etc/*releas* PRETTY_NAME="Debian GNU/Linux 9 (stretch)" $ `echo $SHELL` --version GNU bash, version 4.4.12(1)-release (x86_64-pc-linux-gnu) $ nginx -v nginx version: nginx/1.10.3 $ gdb --version GNU gdb (Debian 8.2.1-2) 8.2.1 

संभव हैक की तलाश में

मैं सर्वर शुरू करता हूं, पहले बचाव-मोड में । मैं डिस्क माउंट करता हूं, ऑर्ट- लॉग्स, इतिहास , सिस्टम लॉग्स, आदि के माध्यम से फ्लिप करता हूं, यदि संभव हो तो, फ़ाइल निर्माण तिथियों की जांच करें, हालांकि मैं समझता हूं कि उसके पीछे एक सामान्य पटाखा "पसीना" होगा, और खुद को खोजते समय मीशा को पहले से ही जानबूझकर "रौंद" दिया गया था।

मैं सामान्य मोड में शुरू करता हूं, विशेष रूप से अभी तक नहीं जानता कि क्या देखना है, मैं कॉन्फ़िगर का अध्ययन कर रहा हूं। वह मुख्य रूप से नग्नेक्स में रुचि रखते हैं, सामान्य तौर पर, दृश्यपटल पर उनके अलावा कुछ भी नहीं है।
विन्यास छोटे हैं, अच्छी तरह से एक दर्जन फाइलों में संरचित हैं, मैं बस बिल्ली के द्वारा उन्हें बारी-बारी से देखता हूं। सब कुछ साफ-सुथरा लग रहा है, लेकिन आप कभी भी इसमें शामिल नहीं हुए हैं , मैं पूरी लिस्टिंग करूंगा:

 $ nginx -T nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful 

मुझे समझ नहीं आया: "सूची कहाँ है?"

 $ nginx -V nginx version: nginx/1.10.3 TLS SNI support enabled configure arguments: --with-cc-opt='-g -O2' --with-ld-opt='-Wl,-z,relro -Wl,-z,now' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-ipv6 --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_addition_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_sub_module --with-stream=dynamic --with-stream_ssl_module --with-mail=dynamic --with-mail_ssl_module 

दूसरे को लिस्टिंग क्वेश्चन में जोड़ा गया है: "नंगेक्स का इतना पुराना वर्जन क्यों?"

इसके अलावा, सिस्टम का मानना ​​है कि संस्करण ताजा स्थापित है:

 $ dpkg -l nginx | grep "[n]ginx" ii nginx 1.14.2-2+deb10u1 all small, powerful, scalable web/proxy server 

मैं फोन कर रहा हूँ:
- मिशा, तुम नगीने क्यों बना रही हो?
- ठीक है, मैं यह भी नहीं जानता कि यह कैसे करना है!
- ठीक है, ठीक है, सो जाओ ...

Nginx को स्पष्ट रूप से आश्वस्त किया गया है और "-T" के लिए लिस्टिंग सूची एक कारण के लिए छिपी हुई है। हैकिंग के बारे में कोई संदेह नहीं है और आप बस इसे स्वीकार कर सकते हैं और (चूंकि मिशा ने सर्वर को किसी नए के साथ बदल दिया है), समस्या को हल करने पर विचार करें।

और वास्तव में, चूंकि किसी को रूट विशेषाधिकार मिला है , इसलिए यह केवल सिस्टम रीइंस्टॉल करने के लिए समझ में आता है, और यह देखने के लिए कि वहां क्या खराब था, लेकिन इस बार जिज्ञासा ने सपने को हरा दिया। कैसे पता करें कि वे हमसे क्या छिपाना चाहते थे?

आइए ट्रेस करने का प्रयास करें:

 $ strace nginx -T 

हम ट्रेस के माध्यम से देखते हैं स्पष्ट रूप से पर्याप्त लाइनों एक ला नहीं है

 write(1, "/etc/nginx/nginx.conf", 21/etc/nginx/nginx.conf) = 21 write(1, "... write(1, "\n", 1 

मज़े के लिए, निष्कर्ष की तुलना करें

 $ strace nginx -T 2>&1 | wc -l 264 $ strace nginx -t 2>&1 | wc -l 264 

मुझे लगता है कि कोड /src/core/nginx.c का वह हिस्सा

  case 't': ngx_test_config = 1; break; case 'T': ngx_test_config = 1; ngx_dump_config = 1; break; 

फॉर्म में घटाया गया था:

  case 't': ngx_test_config = 1; break; case 'T': ngx_test_config = 1; //ngx_dump_config = 1; break; 

या

  case 't': ngx_test_config = 1; break; case 'T': ngx_test_config = 1; ngx_dump_config = 0; break; 

इसलिए, -T द्वारा लिस्टिंग प्रदर्शित नहीं की जाती है।

लेकिन हमारे विन्यास को कैसे देखें?

यदि मेरा विचार सही है और समस्या केवल चर ngx_dump_config में है, तो हम gdb का उपयोग करके इसे स्थापित करने का प्रयास करेंगे, क्योंकि कुंजी --wc-cc-opt -g मौजूद है और हमें उम्मीद है कि ऑप्टिमाइज़ेशन -O2 हमें चोट नहीं पहुंचाएगा। उसी समय से, क्योंकि मुझे नहीं पता कि 't' मामले में ngx_dump_config को कैसे संसाधित किया जा सकता है :, हम इस ब्लॉक को कॉल नहीं करेंगे, लेकिन केस 't' का उपयोग करके इसे इंस्टॉल करें :




कदम:

• मुख्य () फ़ंक्शन में एक ब्रेकपॉइंट सेट करें
• कार्यक्रम चलाएं
• परिवर्तन के मान को परिवर्तित करें config के आउटपुट को परिभाषित करना ngx_dump_config = 1
• कार्यक्रम जारी रखें / समाप्त करें

जैसा कि आप देख सकते हैं, असली कॉन्फिग हमारे से अलग है, हम इसमें से एक स्प्यूरियस पीस का चयन करते हैं:

 map $http_user_agent $sign_user_agent { "~*yandex.com/bots" 1; "~*www.google.com/bot.html" 1; default 0; } map $uri $sign_uri { "~*/wp-" 1; default 0; } map :$sign_user_agent:$sign_uri $sign_o { :1:0 o; default ; } map :$sign_user_agent:$sign_uri $sign_a { :1:0 a; default ; } sub_filter_once off; sub_filter '' $sign_o; sub_filter '' $sign_a; 

आइए हम इस पर विचार करें कि यहां क्या हो रहा है।

उपयोगकर्ता-एजेंट की yandex / google द्वारा परिभाषित:

 map $http_user_agent $sign_user_agent { "~*yandex.com/bots" 1; "~*www.google.com/bot.html" 1; default 0; } 

Wordpress सेवा पृष्ठों को बाहर रखा गया है :

 map $uri $sign_uri { "~*/wp-" 1; default 0; } 

और उन लोगों के लिए जो उपरोक्त दोनों स्थितियों में आते हैं

 map :$sign_user_agent:$sign_uri $sign_o { :1:0 o; default ; } map :$sign_user_agent:$sign_uri $sign_a { :1:0 a; default ; } 

html के पाठ में- पृष्ठ 'o' को 'o' और 'a' को 'a' में बदलता है ।

 sub_filter_once off; sub_filter '' $sign_o; sub_filter '' $sign_a; 

वास्तव में, सूक्ष्मता यह है कि 'a'! = 'A' 'O' के समान है ! = 'O :



इस प्रकार, सर्च इंजन बॉट्स को सामान्य 100% सिरिलिक टेक्स्ट के बजाय लैटिन 'ए' और 'ओ' से पतला संशोधित कचरा प्राप्त होता है। मैं चर्चा नहीं करता कि यह एसईओ को कैसे प्रभावित करता है, लेकिन यह संभावना नहीं है कि इस तरह के शाब्दिक हैश सकारात्मक रूप से SERP में पदों को प्रभावित करेंगे।

क्या कहते हैं लोग कल्पना के साथ।

संदर्भ

GDB के साथ डिबगिंग
gdb (1) - लिनक्स मैन पेज
strace (1) - लिनक्स मैन पेज
नगनेक्स - मॉड्यूल ngx_http_sub_module
आरी, चेनसॉ और पावर आरी के बारे में