Comhaid chúltaca sa webroot: .zip, .sql agus .bak

Go achomair: Is féidir le gach duine a bhfuil ainm an chomhaid ar eolas aige nó a thomhaiseann é comhaid chúltaca sa webroot a íoslódáil, is é sin dumpaí bunachair sonraí (.sql), cartlanna (.zip, .tar.gz) agus cóipeanna cúltaca (.bak, .old, ~). Lorg comhaid den sórt sin go rialta le find, bog cúltacaí lasmuigh den eolaire poiblí, bac iarmhíreanna tipiciúla sa fhreastalaí gréasáin agus seiceáil sna logaí rochtana ar glaodh orthu cheana.

An cúltaca a éiríonn ina sceitheadh

Go gairid roimh nuashonrú cruthaíonn duine cúltaca go tapa: backup.zip sa phríomheolaire, in aice leis datenbank.sql. D'éiríonn leis an nuashonrú, fanann na comhaid. Míonna ina dhiaidh sin tá siad ann fós, leis an gcód iomlán, na sonraí custaiméirí go léir agus sonraí rochtana an tsuímh.

Tá an patrún seo i measc na bhfionnachtana is coitianta i seiceálacha ar fhreastalaithe gréasáin. Níl exploit ná laige i PHP de dhíth. Seachadann freastalaí gréasáin as an webroot an méid atá ann, agus ní ritheann sé cartlanna ná comhaid SQL, ach cuireann sé ar fáil iad lena n-íoslódáil.

Ina theannta sin ní hamháin sonraí atá i gcartlann den suíomh gréasáin, ach an cód lena chumraíocht freisin. An té a íoslódálann í, is féidir leis laigí a lorg ar a shuaimhneas agus tá sonraí rochtana an bhunachair sonraí ar eolas aige.

Lorgaíonn scanóirí uathoibrithe go sonrach ainmneacha tipiciúla ar nós backup.zip, site.tar.gz nó dump.sql, go minic i gcomhcheangal le hainm an fhearainn nó le dáta. An té a cheapann go gcosnaíonn ainm neamhghnách comhaid, tá sé ag tabhairt neamhaird ar cé chomh córasach is a dhéantar an cuardach seo.

Cé na comhaid atá i gceist

Tá comhaid chúltaca sa webroot le fáil i roinnt foirmeacha:

Tá cóipeanna de chomhaid chumraíochta go háirithe íogair. Ritheann an freastalaí an bunchomhad config.php, agus fanann a ábhar i bhfolach. Seachadann sé an chóip config.php.bak mar théacs, lena phasfhocal bunachair sonraí.

Cúltaca sa webroot a aimsiú: cuardach ar an bhfreastalaí

Liostaíonn an cuardach seo a leanas comhaid amhrasacha faoi bhun na webroots le dáta agus méid. Oiriúnaigh na cosáin do d'fhreastalaí:

find /var/www /srv/www -type f \( \
  -iname '*.sql' -o -iname '*.sql.gz' -o -iname '*.dump' -o \
  -iname '*.zip' -o -iname '*.tar' -o -iname '*.tar.gz' -o -iname '*.tgz' -o \
  -iname '*.rar' -o -iname '*.7z' -o \
  -iname '*.bak' -o -iname '*.old' -o -iname '*.orig' -o -iname '*.save' -o \
  -iname '*~' -o -iname '*.swp' \) \
  -printf '%TY-%Tm-%Td  %10s  %p\n' 2>/dev/null | sort

Ní fadhb gach torthaí. Cuirtear roinnt cartlann ar fáil d'aon ghnó lena n-íoslódáil, mar shampla lámhleabhair. Ach tá cinneadh d'aon ghnó tuillte ag gach comhad. Tabhair aird ar chomhaid mhóra agus ar fhillteáin forlíontán cúltaca. Ar óstáil chomhroinnte gan rochtain sliogáin, cabhraíonn an forbhreathnú ar chomhaid sa phainéal óstála nó glao trí SFTP.

An raibh an comhad íoslódáilte cheana?

Tá an freagra sna logaí rochtana den fhreastalaí gréasáin. Is glaonna rathúla a lorgaítear, is é sin stádas 200, ar na comhaid a aimsíodh:

# Glaonna rathúla ar iarmhíreanna cúltaca tipiciúla (formáid loga Combined)
zgrep -hE '\.(sql|sql\.gz|zip|tar|tgz|gz|bak|old|7z|rar)[ ?]' /var/log/nginx/access.log* \
  | awk '$9 == 200 {print $4, $1, $7, $10}'

Taispeánann an t-aschur an t-am, an seoladh, an cosán agus méid an fhreagra. Má thagann an méid aistrithe leis an méid comhaid, luchtaíodh an comhad go hiomlán. Braitheann cé chomh fada siar a théann logaí ar an rothlú. Mura sroicheann siad dáta cruthaithe an chomhaid, ní féidir glao níos luaithe a eisiamh. Déanann Logaí an fhreastalaí gréasáin a mheas tar éis ionsaí cur síos mionsonraithe air. Gan rochtain ar na logaí amha, mar shampla ar óstáil chomhroinnte, iarr na logaí ar an óstálaí don tréimhse lena mbaineann.

Má glaodh dump le sonraí pearsanta, nó mura féidir é sin a eisiamh, tosaíonn an tseiceáil ar dhualgas fógartha. Achoimríonn Dualgas fógartha GDPR: 72 uair an chloig tar éis an teagmhais na bunphrionsabail; baineann an mheastóireacht i gcás ar leith le d'oifigeach cosanta sonraí. Malartaíonn tú sonraí rochtana ó chomhaid a glaodh i ngach cás.

Forlíontáin chúltaca, painéil agus aistrithe

Tagann a lán fionnachtana ó fhorlíontáin chúltaca de CMS agus de shiopaí. Is minic a chuireann siad cúltacaí i bhfo-fhillteán den webroot, uaireanta le hainmneacha ó dháta agus ó fhearann is féidir a thomhas. Seiceáil trí shocrú i ngach forlíonadh: Cá ndéantar an cúltaca? An scriostar cóipeanna áitiúla tar éis uaslódála chuig sprioc sheachtrach? An bhfuil an fillteán áitiúil cosanta ar ghlaoch díreach?

De ghnáth bíonn cúltacaí ó phainéil óstála lasmuigh den webroot, mar shampla san eolaire baile. Bíonn fadhb ann nuair a chóipeálann duine a leithéid de chúltaca isteach sa webroot, mar go bhfuil an íoslódáil sa bhrabhsálaí níos áisiúla ná trí SFTP. Do aistrithe, dá bhrí sin: aistriú trí SFTP nó go díreach idir na freastalaithe, riamh trí nasc poiblí.

Má tá gníomhaireachtaí nó soláthraithe seirbhíse ag cothabháil do shuíomhanna gréasáin, ba cheart an riail seo a bheith sa chonradh freisin, lena dualgas glanta tar éis oibre cothabhála. Tugann Conarthaí soláthraithe TF: dualgais slándála a shoiléiriú leideanna.

Cosc buan: áit stórála agus bacanna

Chun nach dtarlóidh an fhadhb arís, teastaíonn dhá leibhéal. Is eagraíochtúil an chéad cheann: tá áit sheasta ag cúltacaí lasmuigh den webroot agus lasmuigh den fhreastalaí freisin. Cén chuma atá ar chúltaca iontaofa, déanann an treoir Cúltacaí de réir riail 3-2-1 cur síos air.

Is teicniúil an dara leibhéal: diúltaíonn an freastalaí gréasáin d'iarmhíreanna cúltaca tipiciúla go bunúsach, fiú má fhanann comhad ann uair amháin.

location ~* \.(sql|sql\.gz|dump|bak|old|orig|save|swp|swo)$ {
    return 404;
}
location ~ ~$ {
    return 404;
}

Ní bhlocálann tú cartlanna ar nós .zip ach mura dtairgeann do shuíomh gréasáin íoslódálacha sa fhormáid sin, nó go sonrach sna heolairí nach bhfuil íoslódálacha iontu. Cabhraíonn cuardach rialta uathoibríoch le fógra agus riail ghearr san fhoireann freisin: gan cúltacaí ná cóipeanna sa webroot, fiú ar feadh cúig nóiméad. Déileálann Sonraí rochtana agus comhaid .env a chosaint i gceart le cásanna gaolmhara ar nós comhaid chumraíochta i bhfolach.

Conas a chabhraíonn PHP SOS go nithiúil?

• Cuardaímid do webroots le haghaidh dumpaí, cartlann, cóipeanna agus cúltacaí forlíontán agus déanaimid gach fionnachtain a mheas.
• Seiceálaimid ar bhonn na logaí rochtana ar glaodh comhaid, agus doiciméadaímid an toradh do mheastóireacht cosanta sonraí.
• Cuirimid bacanna sa fhreastalaí gréasáin agus cuardach rialta uathoibríoch ar bun.
• Aistrímid cúltacaí go háit chosanta lasmuigh den webroot.

Is cuid dár gcruatú freastalaí d'fhreastalaithe gréasáin PHP an obair seo.

Ceisteanna coitianta

Foinsí

• OWASP Top 10
• GDPR Airteagal 33: fógra don údarás maoirseachta
• Doiciméadú Nginx