Repozytorium kodu źródłowego PHP zhackowane

Atakujący przemycili commity zawierające backdoory

[incydent_kakaowy]

Wysyłanie kodu PHP w nagłówku HTTP_USER_AGENTT.
W sumie możesz sobie dzięki temu zintegrować apkę js-ową i mieć frontend driven backend.

[incydent_kakaowy]

@dsliwa2:
No kod PHP masz tylko we frontendzie jako tekst a w trakcie wykonania jest wrzucany ajaxem na serwer. I tam się wykonuje.
Dzięki temu możesz sobie we frontendzie generować na przykład zapytania sql do bazy danych niedostępnej poprzez przeglądarkę. Nie musisz mieć backendu oprócz jednego pliku index.php który wykona ten kod. W zasadzie jakby ten commit przeszedł nie musisz mieć nawet swojego serwera bo twój kod zadziałałby na każdym

[jagoslau]

@dsliwa2:

a na ludzki? ( ͡° ʖ̯ ͡°) tak żeby każdy wykopek zrozumiał

Hakierzy uzyskali dostęp do repozytorium PHP.
Dzięki temu mogli wysłać tam "poprawkę" - a w rzeczywistości

[Luntri]

Trzeba było młodemu założyć blokadę na pehapa jak porządny rodzic to nie byłoby problemu ( ͡° ͜ʖ ͡°)

[Jare_K]

Buahahaha XD
Współczuć rodziców ( ͡° ͜ʖ ͡°)

[Stivo75]

Jako koleś od security powiem tak : Ktoś miał chrapkę na dużego gracza i duży wyciek i pewnie pozostałe repo na git zawierające inne dystrybucję też to mają. Trzeba przejrzeć wszystkie dystrybucje z których korzystają duzi gracze. Możliwe że ktoś chciał się dostać do firm obsługujących przelewy bankowe do Afryki, bo te firmy mają systemy napisane w PHP do pośrednictwa przelewów. Wiem co piszę, bo siedzę w temacie. Atak na dużą firmę

[Mave]

Wiem co piszę, bo siedzę w temacie

@Stivo75: raczej siedzisz w temacie i sobie zrobiłeś teorię, żeby się wpasowała w to co robisz ( ͡° ͜ʖ ͡°)

[ni0bi]

@Stivo75: troche daleko idace wnioski ze ktos hackujac php chcial sie wlamac do firm akurat robiach przelewy do afryki xD

[nunczako]

Przynajmniej mieli pretekst żeby przenieść się na github

[megawonsz9]

Niestety, obawiam się, że tego typu "wektory ataku" są dużo tańsze od innych metod dla wszelkich służb, które mają dostęp do amerykańskich (i chińskich) gigantów i praktyka jest bardziej powszechna niż nam się wydaje. Po internecie "lata" mnóstwo współdzielonych na CDNach zasobów, których sum kontrolnych nikt nie sprawdza (i przy tym nic nie stoi na przeszkodzie, żeby tylko "wybrańcy" otrzymywali zhakowany kod, albo sekwencję uruchamiającą backdoor w jakimś procesorze - umieszczoną np.

[megawonsz9]

władowanie jakiejkolwiek zmiany jest publiczne i widoczne

@ProgramistaHTML: no właśnie na tym może polegać atak, że "zmieniasz zmianę" po mocnym CR i 50 akceptach sprzed np. 4 lat. Dzisiaj, 3000 commitów od tamtego czasu trudno będzie Ci dociec czy Microsoft Ciebie właśnie atakuje bo posiadasz kluczowe dla amerykańskiej obrony, albo dla amerykańskich interesów informacje ( ͡° ͜ʖ ͡°) A jak kod jest z zamkniętymi źródłami, to

[gatineau]

@megawonsz9: trochę pogooglałem i hash commita to hash całego drzewa (a nie tylko zmian) + hash poprzedniego commita (źródło https://gist.github.com/masak/2415865 )

a więc musiałbyś dodać payload który zmienia kawałek drzewa (a więc dodajesz to do jakiegoś katalogu w repozytorium, tak żeby hash tego katalogu się nie zmienił) i tak długo jak długo nikt nie dotknie żadnego pliku w tym katalogu, tak długo hash tego drzewa nie powinien ulec zmianie i

[masz_fajne_donice]

Też dobre.

[zebrak]

Ja bardziej niż bakend wolę forhend.

[Mamut]

Pytanie do znawców. Mam podstawy PHP na Bazach Danych i zastanawiam się czy w ogóle drążyć ten i czy nie lepiej szkolić się w Pythonie. Podstawy tego języka mam na innym przedmiocie.

[TrueShutDown]

Pytanie do znawców. Mam podstawy PHP na Bazach Danych i zastanawiam się czy w ogóle drążyć ten i czy nie lepiej szkolić się w Pythonie. Podstawy tego języka mam na innym przedmiocie.

@Mamut:
Mam większą aplikację napisaną w PHPie typu SaaS, komercyjna.

Rada ode mnie, próbuj pisać w różnych językach i zobacz w którym Ci się najlepiej pisze. Pamiętaj że WebDev to nie tylko PHP czy tam Python ale całe

[dither]

Problem z PHP jest taki ze serwer dopasowuje do URLa pliku, ktory to jest wykonywany przez proces PHPa. Co prawda pojawiaja sie procesy PHPowe, ktore staraja sie dzialac jak prawdziwy serwer, ale PHP ze swoim niedzialajacym GC cieknie. To nie skladnia jezyka jest zla, ale te pilkowe matchowanie odpowiedzialne jest za wiekszosc wyciekow security.

[piwotomojepaliwo]

Problem z PHP jest taki ze serwer dopasowuje

@dither: To "problem" jest z PHP czy z serwerem? Przecież to są oddzielne warstwy.

[aso824]

@dither: ale przykład z Allegro to właśnie to co pisałem w pierwszym komentarzu, od lat dobrą praktyką jest folder public z index i wtedy już takiego czegoś nie dokonasz, no bo poznasz index.php najwyżej.

Powoli wchodzi do gry Swoole czy ReactPHP/RoadRunner i obstawiam że za 2-3 lata wszystkie appki PHPowe będą działać tak samo jak w innych językach tj. jako asynchroniczny serwer a nie FCGI/FPM.

Drugie - zgadzam się że