แฮกเกอร์ละเมิดเซิร์ฟเวอร์ PHP Git และแทรกแบ็คดอร์ในซอร์สโค้ด

แฮกเกอร์ละเมิดเซิร์ฟเวอร์ PHP Git และแทรกแบ็คดอร์ในซอร์สโค้ด

แฮกเกอร์ได้ละเมิดที่เก็บ Git หลักของภาษาการเขียนโปรแกรม PHP โดยเพิ่มแบ็คดอร์ให้กับซอร์สโค้ดที่อาจทำให้ผู้โจมตีเข้าถึงเซิร์ฟเวอร์นับล้านทั่วโลก





เครื่องมือค้นหาที่ไม่กรองผลลัพธ์

อย่างไรก็ตาม แฮ็กเกอร์ยังทิ้งธงแดงขนาดยักษ์ไว้ให้กับทีมพัฒนา PHP ซึ่งอาจเป็นการเตือนเกี่ยวกับช่องโหว่มากกว่าที่จะเป็นการเอารัดเอาเปรียบโดยตรง



แฮกเกอร์แทรกแบ็คดอร์ลงในซอร์สโค้ด PHP

เปิดตัวทีมพัฒนา PHP แถลงการณ์อย่างเป็นทางการ ยืนยันการละเมิดซอร์สโค้ดในวันอาทิตย์ที่ 28 มีนาคม





คำแถลงยืนยันว่าซอร์สโค้ด PHP ถูกละเมิดจริง โดยโค้ดที่เป็นอันตรายถูกผลักไปยังเซิร์ฟเวอร์ PHP Git จากบัญชีของหัวหน้านักพัฒนา Rasmus Lerdorf และ Nikita Popov

แบ็คดอร์ซึ่งไม่ได้เข้าสู่การผลิต (หมายความว่าไม่ได้ถูกผลักดันไปยังเซิร์ฟเวอร์ใด ๆ ) จะทำให้ผู้โจมตีสามารถรันโค้ดบนเซิร์ฟเวอร์ PHP ที่มีช่องโหว่ได้ มันจะให้การเข้าถึงที่สำคัญกับผู้คุกคามและนำเสนออันตรายที่สำคัญต่อเว็บไซต์นับล้านที่ใช้ภาษาการเขียนโปรแกรม



ที่เกี่ยวข้อง: วิธีจัดการข้อความใน PHP ด้วยฟังก์ชันที่มีประโยชน์เหล่านี้

อย่างไรก็ตาม แม้ว่าการละเมิดและการเปิดเผยช่องโหว่นั้นไม่ดี แต่ก็เห็นได้ชัดว่าแฮ็กเกอร์หรือแฮ็กเกอร์ไม่ได้ตั้งใจให้การใช้ประโยชน์นั้นเกิดขึ้นจริง ในการเรียกใช้โค้ดที่เป็นอันตราย การโจมตีจะต้องส่งคำขอไปยังสตริงเฉพาะที่ชื่อว่า เซอร์โรเดียม .



Zerodium เป็นชื่อของบริการนายหน้าหาช่องโหว่ที่มีชื่อเสียง ซึ่งแฮกเกอร์สามารถขายการหาประโยชน์ให้กับผู้เสนอราคาสูงสุดได้ การรวมชื่อเข้าไว้ด้วยกันทำให้เชื่อได้ว่าแฮ็กเกอร์เรียกร้องความสนใจไปยังทีมพัฒนา PHP แทนที่จะใช้ช่องโหว่อย่างแข็งขัน

ที่เกี่ยวข้อง: เรียนรู้วิธีแจกจ่ายแพ็คเกจ PHP ของคุณด้วย Packagist



การพัฒนา PHP ใช้ขั้นตอนความปลอดภัยเพิ่มเติม

อันเป็นผลมาจากการละเมิด ทีมพัฒนา PHP จะเปลี่ยนวิธีจัดการการเข้าถึงเซิร์ฟเวอร์ Git ทำให้ที่เก็บ GitHub เป็นฐานรหัสพฤตินัยสำหรับโครงการ แทนที่จะเป็นเพียงแค่มิเรอร์อย่างที่เป็นอยู่ในปัจจุบัน

โปรแกรมเริ่มต้นใดที่จะปิดการใช้งาน windows 10

ในขณะที่การตรวจสอบ [the] ยังคงดำเนินการอยู่ เราได้ตัดสินใจว่าการรักษาโครงสร้างพื้นฐาน git ของเราเองนั้นเป็นความเสี่ยงด้านความปลอดภัยที่ไม่จำเป็น และเราจะยุติเซิร์ฟเวอร์ git.php.net ที่เก็บข้อมูลบน GitHub ซึ่งก่อนหน้านี้เป็นเพียงมิเรอร์จะกลายเป็นมาตรฐานแทน ซึ่งหมายความว่าควรส่งการเปลี่ยนแปลงไปที่ GitHub โดยตรง แทนที่จะส่งไปที่ git.php.net

หลังจากเปลี่ยนแล้ว ผู้ที่ต้องการเข้าถึงที่เก็บ PHP จะต้องติดต่อทีมพัฒนาโดยตรงเพื่อขอ

แม้ว่าทีมพัฒนาเชื่อว่าการละเมิดดังกล่าวเป็นการประนีประนอมกับเซิร์ฟเวอร์ Git เอง แทนที่จะเป็นบัญชีส่วนบุคคล การพัฒนา PHP กำลังดำเนินการตามขั้นตอนเพิ่มเติมอย่างถูกต้องเพื่อให้แน่ใจว่าไม่มีการละเมิดเพิ่มเติม

เล่นเพลงผ่านคลื่นความถี่วิทยุ android

ตาม W3Techs ประมาณ 80 เปอร์เซ็นต์ของไซต์ทั้งหมดบนอินเทอร์เน็ตใช้ PHP บางรูปแบบ ดังนั้นจึงเข้าใจขั้นตอนการรักษาความปลอดภัยเพิ่มเติมได้อย่างสมบูรณ์

แบ่งปัน แบ่งปัน ทวีต อีเมล วิธีสร้างเว็บไซต์ PHP อย่างง่ายแห่งแรกของคุณ

อยากสร้างเว็บไซต์แต่ไม่รู้จะเริ่มยังไง? การสร้างเว็บไซต์ PHP พื้นฐานจะทำให้คุณก้าวไปสู่การพัฒนาเว็บ

อ่านต่อไป หัวข้อที่เกี่ยวข้อง
  • ความปลอดภัย
  • ข่าวเทคโนโลยี
  • การเขียนโปรแกรม
  • GitHub
  • PHP
  • ประตูหลัง
เกี่ยวกับผู้เขียน Gavin Phillips(เผยแพร่บทความ 945 ฉบับ)

Gavin เป็นบรรณาธิการรุ่นเยาว์สำหรับ Windows และเทคโนโลยีอธิบาย เป็นผู้มีส่วนร่วมประจำใน Podcast ที่มีประโยชน์จริงๆ และเป็นผู้ตรวจสอบผลิตภัณฑ์ประจำ เขามีศิลปศาสตรบัณฑิต (เกียรตินิยม) การเขียนร่วมสมัยพร้อมแนวทางปฏิบัติด้านศิลปะดิจิทัลที่ถูกปล้นจากเนินเขาของ Devon รวมถึงประสบการณ์การเขียนระดับมืออาชีพกว่าทศวรรษ เขาชอบดื่มชา บอร์ดเกม และฟุตบอลเป็นจำนวนมาก

เพิ่มเติมจาก Gavin Phillips

สมัครรับจดหมายข่าวของเรา

เข้าร่วมจดหมายข่าวของเราสำหรับเคล็ดลับทางเทคนิค บทวิจารณ์ eBook ฟรี และดีลพิเศษ!

คลิกที่นี่เพื่อสมัครสมาชิก