הצד הטכני של התקפת הסייבר
-
@nigun בVPS יש לו גישה פיזית לקבצים, אז כן הוא יכול.
אמנם קבצים מוצפנים הוא לא יכול לקרוא, אבל אני לא מכיר איך מצפינים בלינוקס (בwindows זה לסמן וי במאפיינים), וגם לא ראיתי שעושים זאת. וגם זה לא יעור מאומה מכתיבה דורסת של קובץ PHP אחר.
לפי מה ששמעתי על התקיפה לא בטוח שהיה להם בשום שלב גישה ממש לשרת, אלא רק לקבצי הPHP. הם תיאורטית הצליחו לעלות גירסה אחרת של קובץ הרצה שהסב נזקים. השאלה איך הם עשו את זה לכל האתרים בשלב הראשון לא קשה כי ייתכן שכולם חלקו את אותה פירצה (שהיא אולי שילוב בין תוסף לבין חולשה במכונות של uPress, או נטו תוסף אבל שרק לקוחות uPress שמו - הבנתי שאכן היה כזה דבר) והם עשו זאת לאחד אחרי השני,
אבל בהתקפה השניה ואלה שאחריה נראה שכן היה גישה פיזית. -
-
@nigun אמר בהצד הטכני של התקפת הסייבר:
@dovid
לא מספיק לפרוץ את החשבון מנהל של השרת?
לא צריך גישת SSH בשביל להפיל שרת PHP.למיטב ידעתי הם לא הפילו, הם שוב כתבו קובץ PHP.
מי שהפיל זה uPress כדי להפסיק את ההתקפה.
לא הבנתי מה הקשר גישת ssh, לא היה להם בשום שלב מן הסתם גישה לssh. -
-
@nigun אמר בהצד הטכני של התקפת הסייבר:
לכאורה
זוכרני מפעם שיש איזו טכניקה להריץ פקודות sh עם php ע"י שהקובץ php פונה לקובץ בסיומת sh ואז זה כאילו שהורץ בטרמינל. אז לא צריך גישת ssh ממש. השאלה היא יותר שהרי אמור להיות שלכל יוזר יש את ההרשאות שלו וא"כ איך הצליחו להגיע לכל הרשת.
אולי לפי מה ש@dovid כתב אז בפעם הראשונה הפריצה היתה עם התוסף - ואז אולי הם קיבלו את הפרטים של הגישה, (כנראה שהסיסמאות הם לא חד צידיות). וככה יכלו לגשת בפעם השניה בצורה ישירה.
יתכן?
-
@nigun אמר בהצד הטכני של התקפת הסייבר:
@dovid
כדי לפרוץ לשרת שמחזיק מכונות VPS צריך לכאורה גישת SSH או משהו כזה
ולא רק לקובץ ניהול בPHPלא צריך SSH ולא צריך קובץ ניהול...
אם יש לך גישה פיזית לכתוב קובץ PHP, אתה מריץ במכונה כל מה שאתה רוצה.
אתה מריץ בו כל מה שהיית מריץ בSSH באותה רמת משתמש (מה שהוגדר בשרת האינטרנט כמו האפאצ'י למשל שבברירת מחדל מוגדר המשתמש www-data).
יש לך גם גישה למכונות אחרות אם יש למשתמש ההוא היה גישה אליהם. -
