Bilgisayar korsanları, savunmasız sunucularda “Down Ext: PHP” ni nasıl kullanıyor

Sürekli gelişen siber güvenlik manzarasında, saldırganlar sürekli olarak internete maruz kalan sistemlerde zayıflık belirtileri arıyorlar. Genellikle sömürmeye çalıştıkları bir güvenlik açığı, kötü yapılandırılmış veya modası geçmiş PHP tabanlı sunuculardan kaynaklanır. Hackerlar,“Down Ext: PHP”gibi arama motoru sorgularını kullanarak, savunmasız PHP komut dosyalarını çalıştıran web sunucularını hızlı bir şekilde bulabilir. İfade, başlatılmamış olanlar için şifreli görünse de, otomasyon, yanlış yapılandırma ve oportünizmin siber saldırılar dünyasında nasıl el ele gittiğini anlamak için bir kapı açar.

“Down Ext: PHP” aslında ne anlama geliyor?

“Down Ext: PHP”ifadesi, bir tür Google Dork türüdür - bilgisayar korsanlarının ve güvenlik araştırmacılarının arama motorları tarafından dizine eklenen belirli türde web sayfaları bulmak için kullandıkları bir arama terimi. Hadi parçalayalım:

• “Down”- genellikle bir hizmetin geçici olarak çevrimdışı olduğunu veya teknik zorluklarla karşı karşıya olduğunu gösteren hata mesajları görüntüleyen web sitelerinde görünür.
• “Ext: PHP”- Arama motoruna yalnızca PHP komut dosyalarını çalıştıran sunucuların ayırt edici özelliği olan .php uzantısı olan dosyaları aramasını söyler.

Bu öğeleri birleştirerek, bilgisayar korsanları hata mesajları gösteren PHP sayfalarını arayabilir - genellikle arka uçta bir şeyin doğru olmadığının bir işareti. Bu sayfalar bilgi sızdırabilir veya daha derinlemesine problama için giriş noktaları sağlayabilir.

Neden PHP sunucuları? Ortak bir hedef

PHP, web geliştirme için en yaygın kullanılan komut dosyalarından biridir. Ne yazık ki, bu yaygınlık da onu birincil bir hedef haline getiriyor. Maliyet tasarrufu veya özelleştirme ihtiyacı nedeniyle birçok PHP uygulaması kendi kendine barındırılmaktadır. Bu esneklik, geliştiriciler için faydalı olsa da, güncellemeler ve yamalar özenle uygulanmazsa beklenmedik güvenlik uzlaşmalarına yol açabilir.

Ayrıca, özel PHP uygulamaları resmi güvenlik eğitimi olmadan geliştiriciler tarafından yazılabilir. SQL enjeksiyona eğilimli sorgular, giriş dezenfekte eksikliği veya ayrıntılı hata mesajları gibi güvenli olmayan kodlama uygulamaları nadir değildir.

Bilgisayar korsanları sunuculardan yararlanmak için “aşağı” sayfaları nasıl kullanır?

İşte bir bilgisayar korsanının kötü güvenli bir “aşağı” PHP sayfasını bir arama motoru aracılığıyla ortaya çıkardıktan sonra atabileceği tipik adımların bir dökümü:

1. Kimlik:Hacker, potansiyel olarak kullanılabilir sayfaları tanımlamak için arama sonuçlarını gözden geçirir. Bunlar kullanılamayan yönetici panoları, kırık veritabanı bağlantıları veya işlenmemiş istisnalar olabilir.
2. Bilgi Toplama:Bu sayfaların birçoğu yığın izleri veya ayrıntılı hata mesajları, yazılım sürümlerini, sunucu yollarını ve hatta kullanıcı adı yapılarını gösteriyor. Bu bilgi, hedeflenen bir istismar hazırlamak için altındır.
3. Test girişleri:Söz konusu komut dosyasına erişim ile saldırgan, SQL enjeksiyonu, PHP nesne enjeksiyonu veya yerel dosya dahil etme (LFI) gibi ortak sömürü vektörlerini deneyecektir.
4. Giriş Kazanma:Bir güvenlik açığı bulunursa, saldırgan bir web kabuğu yükleyebilir, bir veritabanı dökümü çıkarabilir veya sunucu içindeki erişimi artırabilir.

Bazen, bu sayfalar giriş veya arama alanları gibi girişi kabul eden formlara bağlanır. Bunların her biri, yetenekli bir hacker'ın elinde uzlaşma için potansiyel bir yol haline gelir.

Gerçek Dünya Vaka Çalışması: “Down.php” tuzağı

Küçük bir işletme için özelleştirilmiş bir içerik yönetim sistemi (CMS) içeren gerçek dünya senaryosunu ele alalım. Yanlış yapılandırılmış bir modül nedeniyle,Down.phpadlı bir komut dosyası genellikle sunucu aşırı yükleri veya veritabanı yeniden bağlanmaları sırasında tetiklendi. Komut dosyası sayfada ayrıntılı hata günlükleri üretti ve maruz kaldı:

• Veritabanı ana bilgisayar adları
• PHP sürümü
• Dosya yolları ve işlev çağrıları

Bu komut dosyasını bulunan bir "Down Ext: PHP" sorgusu kullanan bir hacker. İki saat içinde, hata günlüklerinden gelen bilgileri kullanarak veritabanı yapısını ve kaba kuvvetli yönetici kimlik bilgilerini çıkarmışlardı. Tüm bunlar, şirketin izleme uyarılarını başlatmadan gerçekleşti, çünkü sayfanın kendisi yaygın olarak görüntülenmedi veya hassas kabul edildi.

Otomasyon ve botların rolü

Siber suçlular genellikle bu aramaları manuel olarak gerçekleştirmezler. Bunun yerine, Google Dorking sorgularını sürekli olarak otomatikleştirmek için botlar kullanırlar. Bu botlar sonuçları tarar ve ayrıştırır, hedef URL'leri saklar ve hatta varsayılan kimlik bilgileri veya bilinen güvenlik açıkları için test gibi ön çekler gerçekleştirir.

Bazı botlar aşağıdaki gibi araçlarla entegre ederek bir adım daha ileri gider:

• SQL enjeksiyon otomasyonu içinSQLMAP
• Veri alımı için curlvewget
• Kimlik bilgisi için Hydra

Bu, kamuya açık bırakılan en küçük hata sayfasının bile kötü amaçlı tarama araçları için bir işarete dönüşebileceği ve insan gözlerinin sorunu fark etmeden önce yetkisiz erişime yol açabileceği anlamına gelir.

Bu yöntemle kullanılan popüler PHP güvenlik açıkları

PHP tabanlı hata sayfalarını hedeflerken, saldırganlar genellikle kendilerini sömürmeye borç veren belirli güvenlik açıklarını ararlar. Aşağıda en yaygın olanlardan birkaçı:

• Uzak Dosya İçerme (RFI):Saldırganların savunmasız komut dosyalarını kullanarak uzak dosyaları yüklemesine ve yürütmesine izin verir.
• Yerel dosya dahil etme (LFI):/etc /passwdgibi hassas yerel dosyaların okunmasına izin verir.
• SQL Enjeksiyonu:Filtrelenmemiş veritabanı sorguları, tabloların tam olarak çıkarılmasına ve kimlik doğrulama bypass'a izin verebilir.
• Komut Enjeksiyonu:Kötü niyetli giriş, sterilizasyon eksikliği nedeniyle sistem komutları olarak yürütülür.

Bu kusurlardan yararlanmak her zaman giriş erişimi veya yüksek ayrıcalıklar gerektirmez. Bir hata sayfasının - özellikle zengin hata ayıklama verileri içeren bir hata sayfasının kasıtsız olarak maruz kalması, genellikle yetenekli bir saldırganın bir plan geliştirmesi için yeterli materyal sağlar.

Azaltma Stratejileri: Nasıl Güvenli Kalınır

Geliştiricilerin ve sistem yöneticilerinin PHP uygulamalarını güvence altına alırken proaktif bir duruş benimsemeleri şarttır. İşte bazı etkili hafifletme stratejileri:

• Hataları dahili olarak bastırın ve günlüğe kaydedin:PHP'yi, tarayıcı aracılığıyla kullanıcılara görüntülemek yerine halka açık olmayan bir konuma günlüğe kaydedecek şekilde yapılandırın.
• Tüm kullanıcı girişlerini sterilize edin:SQL enjeksiyonunu ve komut enjeksiyonunu önlemek için hazırlanan ifadeleri ve giriş doğrulamasını kullanın.
• Hassas dosyalara erişimi kısıtlayın:Down.phpgibi dosyaların yalnızca yöneticiler için erişilebilir olduğundan veya üretim sırasında çevrimdışı olduğundan emin olun.
• Arama motoru listelerini izleyin:Sitenizin arama motorlarında nasıl göründüğünü gözlemlemek için araçları kullanın. İndekslenen olağandışı veya istenmeyen sayfalar için tarama.
• Web uygulaması güvenlik duvarlarını kullanın:Modern WAF'ler otomatik tarama girişimlerini algılayabilir ve engelleyebilir.

Daha büyük resim

Siber güvenlikte, hiçbir güvenlik açığı sömürmek için çok küçük değildir. Bir PHP dosyasındaki basit bir "Bakım için Sayfa Down" mesajı, yanlışlıkla hassas operasyonel ayrıntıları yayınlayabilir. Sofistike saldırı otomasyonu ve yaygın olarak mevcut hackleme araçları ile birleştirildiğinde, anlık ihmal bile ciddi sonuçlara yol açabilir.

Siz veya kuruluşunuz PHP tabanlı bir web sitesi veya uygulama yürütüyorsa, “Down Ext: PHP” ifadesi sadece teknoloji jargonu gibi görünmemelidir, aynı zamanda içgözlem, güncellemeler ve daha iyi protokoller için bir çağrı olmalıdır. Maruz kalan her PHP kodu hattı potansiyel bir saldırı yüzeyidir. Bu boşlukları kapatmak, ne kadar kolay bulunabileceğini anlayarak başlar.