Если уже залили шелл и хотят слить мой скрипт?

Question

[developer007]

Есть проект. Proxy сервер и бек на nginx+php-fpm + postgres
Его постоянно пытаются ломать судя по логам - попытки sql инъекции где только можно, в любой инпут и т.д

В формах была допущена уязвимость, позволяющая загрузить скрипт php и исполнить его.
Хакер залил и хочет слить проект в паблик.

Как защититься от этого?
Например изначально на самом бек-сервере запретить все соединения кроме прокси nginx и ssh по ключу(чтобы админить) - или это бредовая идея?

может как то круто настроить nginx ?
а как тогда ПРАВИЛЬНО запускать/устанавливать nginx? обычно это происходит так sudo apt-get install nginx
Может надо сам php-fpm запускать особенным образом?

Answer 1

[dollar]

Отключить nginx, далее уже разбираться без суеты, изучать новые файлы, логи, бд и т.д.

Вы же не хотите сказать, что php у вас может (имеет права) менять системные файлы, запускать любые процессы и т.д.?

Хакер залил и хочет слить проект в паблик.

Это очень странное заявление, т.к. происходит это обычно очень быстро. Пока вы думаете, что делать, проект уже будет слит. Ну, конечно, если это не мега тяжелая база через узкое соединение. Так что хакер сначала сольет проект, а потом уже будет хотеть выложить его в паблик, лениво переписываясь с вами или с кем-либо еще.

В общем случае совет - сразу отрубить всё, что только можно, а потом думать. В идеале должен быть физический доступ, чтобы обрубить интернет. Хотя в теории зловредный скрипт может быть настолько умным, что его автономные действия будут опаснее, чем при управлении хакером удаленно, но такой скрипт сделать сложно и дорого, поэтому это редкость.

Comments

[developer007]

скрипт не залили, а есть такая уязвимость. как защититься от такого?

представьте не существует возможности фильтровать что юзер присылает.
и он может залить и исполнить пхп файл

[dollar]

Не могу представить себе такую ситуацию. Фильтровать в любом случае можно и нужно. Если вы пока не придумали, как фильтровать, то из этого не следует, что не существует возможности фильтровать.

Поясните детальнее, в чем проблема.

[developer007]

dollar,
ну вот нет способа на уровне приложения защитится от этого(представьте).
я ищу способы/гайды/справки/мануалы по защите от этого на основе окружения - может права надо настроить так чтобы файлы загруженные через git могли исполнятся, а созданные левым способом не могли

или еще что то

[dollar]

ну вот нет способа на уровне приложения защитится от этого(представьте).

Пытаюсь представить, но не могу. Объясните, пожалуйста, в чем заключается проблема. Ведь если приложение ваше, то вы можете изменять его, как угодно.

[developer007]

dollar, давай по другому вопрос построю:
как защититься от исполнения левого скрипта, путем ПРАВИЛЬНОЙ настройки linux окружения (nginx, php-fpm).

Под левым скриптом я подразумеваю файлы загруженные не через git

[dollar]

А git под каким пользователем? Хотя это уже ответ, а не вопрос)

[20ivs]

hwnd32, да как ни крути, тут вопрос распределения прав. задайте себе сами свой же вопрос. а еще спросите себя, какой такой юзер и с какой стати он может загружать файлы на мой сервер и тем более их выполнять?

ПРАВИЛЬНОЙ настройки linux окружения

правами и только правами.

[dollar]

Ошибка автора вопроса в том, что он начал со слов "есть проект", но так и не написал, какое он имеет отношение к этому проекту, и в чем его интерес. Отсюда происходит всё недопонимание отвечающих.

По комментариям создается впечатление, что автор предоставляет свой сервер под чужой проект и почему-то отвечает за дыры и баги в нем, не имея возможности их закрывать, а также не имея доступа к ответственным людям, которые смогут закрыть.

При этом не ясно, зачем проекту давать права более, чем на свою папку и свой кусок базы. Пусть он там крутится, да пусть хоть сам себя съест, это его дело.

[posters]

dollar, мб сервер в складчину куплен?

[Vitaly Karasik]

hwnd32,

Стоит директорию с кодом сделать read-only для того пользователя, под которым бежит nginx, тогда никто не сможет ничего залить через дырявые формы.
Плюс ограничитить исполнение кода этой самой директорией.

Answer 2

[asd111]

Изучи что такое докер. Контейнер с кодом в продакшене можно сделать read only и тогда никто тебе не зальет туда шелл, даже если ты написал решето, банально потому что контейнер закрыт для записи.

Comments

[sim3x]

Докер не предназначен для таких целей

[Папа Стифлера]

Такое и без докера делается на раз-два.

Answer 3

[xmoonlight]

Как защитить сайты от взлома?

Comments

[ZakkMalin]

старина с возвращением, пол года не был

[xmoonlight]

ZakkMalin, Спасибо! Здоровье (зрение)....

[ZakkMalin]

xmoonlight, что со зрением, надо пока лето достать черники 3л банку, и есть в чистом виде, а также смотреть по 10 минут в день на стереограммы чтобы треннировать глазную мышцу, я сижу за компьютером 25 лет, и не носил очки, ни разу благодаря этому:

рис. Простейший пример стереограммы, на которой изображена тёлка сидящая поверх скамейки, проекция "камеры" направлена снизу на её ноги

Надо разглядывать такие картинки чтобы тренировать зрение

[xmoonlight]

ZakkMalin, Спасибо, попробую такой метод!

Answer 4

[FanatPHP]

Какой-то странный вопрос, больше похожий на паранойю.

постоянно пытаются ломать судя по логам - попытки sql инъекции где только можно, в любой инпут

Это не показатель популярности ресурса у хакеров, а рутина. Тупые дети со всего мира запускают веерное сканирование, этого добра полно в логах любого сайта.

хочет слить проект в паблик

Это самая странная часть. Шел уже залит, и хакер сидит и ждёт пока ты задашь вопрос на тостере?

Comments

[developer007]

скрипт не залили, а есть такая уязвимость. как защититься от такого?

представьте не существует возможности фильтровать что юзер присылает.
и он может залить и исполнить пхп файл

[Saboteur]

hwnd32, "представьте не существует возможности фильтровать что юзер присылает."
Ну тогда расслабиться и получать удовольствие.

[Stalker_RED]

а есть такая уязвимость. как защититься от такого?

убери уязвимость.

не существует возможности фильтровать

добавь эту возможность

и он может залить и исполнить пхп файл

запрети заливать куда попало, оставь для залитых только одну директорию, запрети исполнение из нее.

[CityCat4]

Я так полагаю, что вот это:

В формах была допущена уязвимость, позволяющая загрузить скрипт php и исполнить его.
Хакер залил и хочет слить проект в паблик.

Это потенциальное. То есть чел хочет знать, как от этого защититься, если оно вдруг произойдет.

Answer 5

[prostoprofan]

Наверно вопрос тут не в Nginx, apache или в чём-то еще. А в том что у человека на бекенде не было проверки на расширение типа файлов, это и привело к тому что пользователь смог загрузить файл и выкачать все что давало ему (по правам доступа).
От этого защищаются как минимум проверкой расширений, а бонусом можно делать переименование файлов (что кстати тоже важно). Тогда в таком случае юзер сможет грузить только разрешенные форматы. Если нужно решение, то на гитхабе полно ссылок на такие библиотеки, где уже есть фильтрация расширений (если не хотите сами писать код)