Η WordPress κυκλοφόρησε αυτήν την εβδομάδα μια ενημέρωση ασφαλείας προκειμένου να διορθώσει μια ευπάθεια εκτέλεσης κώδικα απομακρυσμένου (RCE).
Χρησιμοποιώντας σε συνδυασμό με ένα άλλο ελάττωμα, οι χάκερ θα μπορούσαν να εκτελέσουν αυθαίρετο κώδικα PHP σε έναν ιστότοπο του WordPress και καθώς σχεδόν το μισό διαδίκτυο θεωρείται ότι τρέχει σε WordPress, η επιφάνεια επίθεσης είναι αρκετά ευρεία.
Στην ανακοίνωσή της, η WordPress σημειώνει ότι το σφάλμα RCE δεν είναι απευθείας εκτελέσιμο στον πυρήνα, αλλά που, σε συνδυασμό με ορισμένα πρόσθετα, ενδέχεται να συνιστά υψηλό κίνδυνο.
Το σφάλμα RCE επιδιορθώθηκε στην έκδοση WordPress 6.4.2. Συνιστάται στους ιδιοκτήτες και τους διαχειριστές ιστότοπων να ενημερώσουν στην επιδιορθωμένη έκδοση του CMS το συντομότερο δυνατό.
“Ενώ οι περισσότεροι ιστότοποι θα πρέπει να ενημερωθούν αυτόματα στο WordPress 6.4.2, συνιστούμε ιδιαίτερα τον χειροκίνητο έλεγχο του ιστότοπό σας για να εξασφαλίσετε ότι έχει γίνει η ενημέρωση”, σημειώνει η Wordfence.
Ο Αλέξανδρος είναι ο ιδρυτής του hacks.gr και η κινητήρια δύναμη πίσω από το όραμά μας.
Με πολυετή εμπειρία στον κόσμο του hacking, έχει διαμορφώσει μια κοινότητα που είναι πηγή έμπνευσης και μάθησης για όλους.
Με τον προσωπικό του χαρακτήρα και την τεχνογνωσία του, έχει δημιουργήσει έναν χώρο όπου οι λάτρεις του hacking μπορούν να συναντιούνται, να μοιράζονται γνώσεις και να εξελίσσονται.
Χάκερς παραβίασαν τα συστήματα του Διεθνούς Ποινικού Δικαστηρίου την περασμένη εβδομάδα
Το Διεθνές Ποινικό Δικαστήριο (ΔΠΔ) αποκάλυψε μια κυβερνοεπίθεση την Τρίτη, αφού ανακάλυψε την περασμένη εβδομάδα ότι τα συστήματά του είχαν παραβιαστεί. Ανέφεραν ότι επί του παρόντος διερευνά το περιστατικό με τη συνδρομή των ολλανδικών αρχών, καθώς οι Κάτω Χώρες λειτουργούν ως χώρα υποδοχής του ΔΠΔ. Το ΔΠΔ περιέγραψε επίσης σχέδια για την εντατικοποίηση των προσπαθειών για την ενίσχυση της άμυνας του στον κυβερνοχώρο, συμπεριλαμβανομένης της επιτάχυνσης της υιοθέτησης της τεχνολογίας cloud.
Προς το παρόν, δεν υπάρχουν διαθέσιμες πληροφορίες σχετικά με την έκταση της φύσης της κυβερνοεπίθεσης και τον αντίκτυπο στα συστήματα του ΔΠΔ ή αν οι δράστες κατάφεραν να αποκτήσουν πρόσβαση ή να εξαφανίσουν δεδομένα ή αρχεία από το δίκτυό του. Το Δικαστήριο αποκάλυψε μόνο ότι “συνεχίζει να αναλύει και να μετριάζει τον αντίκτυπο αυτού του περιστατικού”, εστιάζοντας στη “διασφάλιση της συνέχισης του βασικού έργου του Δικαστηρίου”.
Ο εκπρόσωπος Fadi El-Adballah δήλωσε ότι το ΔΠΔ δεν μπορεί να παράσχει περαιτέρω λεπτομέρειες ή πληροφορίες. Το ΔΠΔ είναι ένα διεθνές δικαστήριο που ερευνά και διώκει τα σοβαρότερα αδικήματα που επηρεάζουν τη διεθνή κοινότητα, συμπεριλαμβανομένων των εγκλημάτων πολέμου, της γενοκτονίας και των εγκλημάτων κατά της ανθρωπότητας. Για παράδειγμα, τον Μάρτιο του 2023, το ΔΠΔ εξέδωσε ένταλμα σύλληψης για τον Ρώσο πρόεδρο Βλαντιμίρ Πούτιν σχετικά με εγκλήματα που συνδέονται με την εισβολή της Ρωσίας στην Ουκρανία.
Το ΔΠΔ ιδρύθηκε το 2002 μετά τη θέση σε ισχύ του Καταστατικού του Διεθνούς Ποινικού Δικαστηρίου της Ρώμης (Καταστατικό της Ρώμης) και από τον Μάρτιο του 2023 έχει 123 κράτη μέλη.
Νέο backdoor του WordPress δημιουργεί λογαριασμό διαχειριστή για να κλέψει ιστότοπους
Ένα νέο κακόβουλο λογισμικό παριστάνει το νόμιμο πρόσθετο προσωρινής αποθήκευσης για να στοχεύσει ιστότοπους WordPress, επιτρέποντας στους φορείς απειλών να δημιουργήσουν έναν λογαριασμό διαχειριστή και να ελέγχουν τη δραστηριότητα του ιστότοπου.
Το κακόβουλο λογισμικό είναι μια κερκόπορτα με διάφορες λειτουργίες που του επιτρέπουν να διαχειρίζεται τα πρόσθετα και να κρύβεται από τα ενεργά στις παραβιασμένες ιστοσελίδες, να αντικαθιστά περιεχόμενο ή να ανακατευθύνει ορισμένους χρήστες σε κακόβουλες τοποθεσίες.
Λεπτομέρειες ψεύτικου πρόσθετου
Οι αναλυτές της Defiant, των κατασκευαστών του πρόσθετου ασφαλείας Wordfence για το WordPress, ανακάλυψαν το νέο κακόβουλο λογισμικό τον Ιούλιο κατά τον καθαρισμό ενός ιστότοπου.
Ρίχνοντας μια πιο προσεκτική ματιά στο backdoor, οι ερευνητές παρατήρησαν ότι ερχόταν “με ένα επαγγελματικής εμφάνισης εναρκτήριο σχόλιο” για να μεταμφιεστεί ως εργαλείο caching, το οποίο συνήθως βοηθά στη μείωση της καταπόνησης του διακομιστή και στη βελτίωση των χρόνων φόρτωσης της σελίδας.
Η απόφαση να μιμηθεί ένα τέτοιο εργαλείο φαίνεται σκόπιμη, διασφαλίζοντας ότι θα περάσει απαρατήρητο κατά τη διάρκεια χειροκίνητων ελέγχων. Επίσης, το κακόβουλο πρόσθετο έχει ρυθμιστεί να αποκλείει τον εαυτό του από τη λίστα των “ενεργών πρόσθετων” ως μέσο για να αποφύγει τον έλεγχο.
Το κακόβουλο λογισμικό διαθέτει τις ακόλουθες δυνατότητες:
User creation – Μια συνάρτηση δημιουργεί έναν χρήστη με όνομα ‘superadmin’ με σκληρά κωδικοποιημένο κωδικό πρόσβασης και δικαιώματα επιπέδου διαχειριστή, ενώ μια δεύτερη συνάρτηση μπορεί να αφαιρέσει αυτόν τον χρήστη για να σβήσει τα ίχνη της μόλυνσης.
Bot detection – Όταν οι επισκέπτες αναγνωρίζονταν ως bots (π.χ. ανιχνευτές μηχανών αναζήτησης), το κακόβουλο λογισμικό τους παρείχε διαφορετικό περιεχόμενο, όπως spam, προκαλώντας τους να ευρετηριάσουν τον παραβιασμένο ιστότοπο για κακόβουλο περιεχόμενο. Ως εκ τούτου, οι διαχειριστές θα μπορούσαν να δουν μια ξαφνική αύξηση της επισκεψιμότητας ή αναφορές από χρήστες που διαμαρτύρονται για ανακατεύθυνση σε κακόβουλες τοποθεσίες.
Content replacement – Το κακόβουλο λογισμικό μπορεί να μεταβάλλει τις αναρτήσεις και το περιεχόμενο της σελίδας και να εισάγει συνδέσμους ή κουμπιά spam. Στους διαχειριστές του ιστότοπου σερβίρεται μη τροποποιημένο περιεχόμενο για να καθυστερήσει η υλοποίηση της παραβίασης.
Plugin control – Οι χειριστές του κακόβουλου λογισμικού μπορούν να ενεργοποιήσουν ή να απενεργοποιήσουν εξ αποστάσεως αυθαίρετα πρόσθετα του WordPress στον ιστότοπο που έχει παραβιαστεί. Επίσης, καθαρίζει τα ίχνη του από τη βάση δεδομένων του ιστότοπου, έτσι ώστε η δραστηριότητα αυτή να παραμένει κρυφή.
Remote invocation – Το backdoor ελέγχει για συγκεκριμένες συμβολοσειρές του πράκτορα χρήστη, επιτρέποντας στους επιτιθέμενους να ενεργοποιούν εξ αποστάσεως διάφορες κακόβουλες λειτουργίες.
Προς το παρόν, η Defiant δεν παρέχει λεπτομέρειες σχετικά με τον αριθμό των ιστότοπων που έχουν παραβιαστεί με το νέο κακόβουλο λογισμικό και οι ερευνητές της δεν έχουν ακόμη προσδιορίσει τον αρχικό φορέα πρόσβασης.
Οι τυπικές μέθοδοι παραβίασης ενός ιστότοπου περιλαμβάνουν κλεμμένα διαπιστευτήρια, brute-forcing κωδικών πρόσβασης ή εκμετάλλευση ευπάθειας σε υπάρχον πρόσθετο ή θέμα.
Η Defiant κυκλοφόρησε μια υπογραφή ανίχνευσης για τους χρήστες της δωρεάν έκδοσης του Wordfence και πρόσθεσε έναν κανόνα τείχους προστασίας για την προστασία των χρηστών Premium, Care και Response από την κερκόπορτα.
Ως εκ τούτου, οι ιδιοκτήτες ιστότοπων θα πρέπει να χρησιμοποιούν ισχυρά και μοναδικά διαπιστευτήρια για τους λογαριασμούς διαχειριστών, να διατηρούν τα πρόσθετα τους ενημερωμένα και να αφαιρούν αχρησιμοποίητα πρόσθετα και χρήστες.
Ξεκινώντας θα πω ότι η κάθε σελίδα διαφέρει από την άλλη… που σημαίνει ότι
μπορεί να μην δουλέψει κάτι από αυτά που θα γράψω εδώ… αλλά αυτό δεν σημαίνει ότι
δεν είναι ευάλωτη σε xss
Επιπλέον μπορεί να καταφέρεται να κάνετε xss σε firefox και να δοκιμάσετε την ίδια
τεχνική σε chrome χωρίς να δουλέψει… αυτό γίνετε γιατί έχουν και οι browsers κάποιες
άμυνες για το xss
Ας ξεκινήσουμε από τα βασικά…
1) Συχνά κάποια σελίδα διαγράφει την λέξη <script> από τα πεδία που ελέγχει ο χρήστης… δηλαδή αν δώσουμε <script>alert("xss")</script> το <script> θα διαγραφτεί… Παρόλα αυτά μου έχει τύχει περίπτωση που περνάει αυτό: <sCriPt> Πιθανότατα δεν έκανε όλα τα γράμματα μικρά πριν ελέγξει τα δεδομένα που εισάγομε στην σελίδα… Επόμενος αν γράψουμε <scRIPt>alert("xss")</script> θα λειτουργήσει κανονικά!
2)
Ίδια με τα παραπάνω… μόνο που τώρα ελέγχει και τα κεφαλαία γράμματα
Επόμενος αν γράψουμε <script>alert("xss")</script> θα διαγραφτεί το <script>
και θα γράψει alert("xss")</script>
Αυτό μπορούμε να το εκμεταλλευτούμε… και να γράψουμε <scr<script>ipt>alert("xss")</script>
Όταν ο browser διαγράψει το <script> θα ενωθούν τα <scr και ipt> φτιάχνοντας
το <script>. Με αυτόν τον τρόπο θα ήταν σαν να βάζαμε: <script>alert("xss")</script>
3)null bite <sc%00ript> το %00 είναι ένα null byte το όποιο μπορεί να περάσει μερικά filters
αλλά στην ουσία δεν γράφει τίποτα με αποτέλεσμα το <script> να γράφετε κανονικά στην σελίδα
4)Encryption:
Μπορείτε να κωδικοποιήσετε τα script σε διάφορες μορφές ώστε να παρακάμψετε πολλά filters
Για παράδειγμα μπορεί κάποια σελίδα να μην σας αφήνει να γράψετε το < και το > ή τα “
Μπορείτε να τα κωδικοποιήσετε σε διάφορες μορφές… για παράδειγμα url encoding %3Cscript%3Ealert(%22xss%22)%3C%2Fscript%3E
το παραπάνω είναι το <script>alert("xss")</script> κωδικοποιημένο σε url…
τα < > κλπ αλλάξαν… Για παράδειγμα το < έγινε %3C
Πέρα από το url encoding μπορείτε να δοκιμάσετε και unicode encoding για παράδειγμα %u003C το όποιο μπορεί να γραφτεί και με διάφορους τρόπους: %u03C %u0003C
Επιπλέον είναι και τα html chars που πρέπει να γνωρίζεται και το base64… Υπάρχουν
και άλλα όπως base16 αλλά τα παραπάνω είναι τα σημαντικότερα… χωρίς αυτό να σημαίνει ότι
δεν πρέπει να δείτε και τα υπόλοιπά… τρύπες ψάχνουμε… πρέπει να ξέρουμε τις λεπτομέρειες
για να τις βρούμε… Μπορείτε να κάνετε και διπλό url encoding
5)
Υποθέτουμε ότι δεν μπορούμε να βάλουμε το <script> στον κώδικα της σελίδας με κανέναν από του
τρόπους που γνωρίζουμε… μπορούμε να κάνουμε κάτι άλλο… <img src="invalidimg.img" onerror="alert('xss')" /> θα προσπαθήσει να βάλει μια
εικόνα στην σελίδα… δεν θα την βρει θα πάει στο onerror και θα εκτελέσει το scriptaki μας…
6)Bypassing ” filtering.
Αν έχετε όλα τα παραπάνω αλλά δεν μπορείτε να βάλετε ” τότε σας προτείνω να
χρησιμοποιήσετε την συνάρτηση String.fromCharCode
Για παράδειγμα: <script>alert(String.fromCharCode(65,66,67))</script>
Είναι σαν να γράψαμε: <script>alert("ABC")</script>
Ο Αλέξανδρος είναι ο ιδρυτής του hacks.gr και η κινητήρια δύναμη πίσω από το όραμά μας.
Με πολυετή εμπειρία στον κόσμο του hacking, έχει διαμορφώσει μια κοινότητα που είναι πηγή έμπνευσης και μάθησης για όλους.
Με τον προσωπικό του χαρακτήρα και την τεχνογνωσία του, έχει δημιουργήσει έναν χώρο όπου οι λάτρεις του hacking μπορούν να συναντιούνται, να μοιράζονται γνώσεις και να εξελίσσονται.
