지난 주, 사용자 인터페이스 개발, 데브옵스, 파일 관리 등을 위한 소프트웨어와 서비스를 판매하는 Progress Software Corporation은 고객들에게 MOVEit 전송 및 관련 MOVEit 클라우드 약 제품 중대한 취약점 더빙 된 CVE-2023-34362.
이름에서 알 수 있듯이 MOVEit Transfer는 팀, 부서, 회사 또는 공급망 전체에서 파일을 쉽게 저장하고 공유할 수 있는 시스템입니다.
의에서 자신의 말, "MOVEit은 스크립팅 없이 안전한 협업과 민감한 데이터의 자동화된 파일 전송 및 고급 워크플로 자동화 기능을 제공합니다."
안타깝게도 MOVEit의 웹 기반 프런트 엔드는 웹 브라우저만 사용하여 파일을 쉽게 공유하고 관리할 수 있습니다(일반적으로 이메일을 통해 파일을 공유하는 것보다 파일을 잘못 지정하거나 "분실"할 가능성이 더 적은 것으로 간주되는 프로세스). 주입 취약점.
SQL 인젝션 설명
제출된 HTTP 요청이 있을 때 웹 기반 SQL 주입 버그가 발생합니다. 웹 서버에 그런 다음 실행되는 쿼리 명령으로 안전하지 않게 변환됩니다. 서버에 의해 구성할 HTTP 응답을 해결하기 위해 자체적으로 데이터베이스 조회를 수행합니다.
예를 들어 웹 페이지에서 트리거된 데이터베이스 검색은 다음과 같이 브라우저에서 요청한 URL로 끝날 수 있습니다.
https://search.example.com/?type=file&name=duck
쿼리 텍스트 duck
그런 다음 URL의 이름 매개변수에서 추출하여 데이터베이스 쿼리 구문으로 변환하고 명령으로 연결하여 데이터베이스 서버에 제출할 수 있습니다.
백엔드 데이터가 SQL 데이터베이스에 저장되어 있는 경우 웹 서버는 해당 URL을 아래와 같은 SQL 명령으로 변환할 수 있습니다.
XNUMXD덴탈의 %
텍스트에 추가된 문자 duck
검색어가 검색된 파일 이름의 어느 곳에나 나타날 수 있으며 각 끝에 작은따옴표 문자가 SQL 텍스트 문자열을 나타내는 마커로 추가됨을 의미합니다.
파일명 선택 FROM filesdb WHERE 이름 LIKE '%duck%'
쿼리에서 반환되는 데이터는 형식이 잘 지정되고 HTML로 변환되며 브라우저에 HTTP 응답으로 다시 전송되어 다운로드할 수 있는 일치하는 파일의 클릭 가능한 목록을 제공할 수 있습니다.
물론 웹 서버는 악의적인 사용자가 다음과 같은 URL을 생성하고 요청하는 경우를 대비하여 검색어로 제출되는 파일 이름에 정말 주의해야 합니다.
https://search.example.com/?type=file&name=duck';DROP table filesdb;--
해당 검색어가 쿼리 문자열로 맹목적으로 변환된 경우 웹 서버를 속여 다음과 같은 명령을 SQL 서버에 보낼 수 있습니다.
SELECT filename FROM filesdb WHERE name LIKE '%duck';DROP TABLE filesdb;--%'
왜냐하면 세미콜론(;
)는 SQL에서 명령문 구분 기호 역할을 합니다. 이 한 줄 명령은 실제로 세 개의 연속 명령을 보내는 것과 같습니다.
SELECT filename FROM filesdb WHERE name LIKE '%duck' -- duck 으로 끝나는 이름과 일치 DROP TABLE filesdb -- 전체 데이터베이스 삭제 --%' -- 주석, 아무것도 하지 않음
몰래, 왜냐하면 모든 이후 --
프로그래머의 주석으로 SQL에 의해 폐기됩니다. 이 세 줄은 다음과 같습니다.
filesdb에서 파일 이름 선택 WHERE 이름 LIKE '%duck' DROP TABLE filesdb
문자열로 끝나는 데이터베이스의 모든 파일 이름 목록을 반환합니다. duck
(특수 SQL 문자 %
검색어 시작 부분에 "이 지점까지 일치하는 항목"을 의미합니다.)…
...하지만 당신은 세상에서 유용한 것을 얻는 마지막 사람이 될 것입니다. filesdb
악성 검색어는 전체 데이터베이스를 삭제하기 위해 SQL 명령으로 검색을 수행하기 때문입니다.
리틀 바비 테이블
시스템 관리자나 코더가 농담을 하는 것을 들어 본 적이 있다면 리틀 바비 테이블, 이러한 종류의 SQL 주입이 XKCD 만화 2007 년으로 돌아 가기 :
만화가 마지막 프레임에서 끝남에 따라 데이터베이스 입력을 삭제해야 합니다. 즉, 검색어를 제출하는 사람이 관련 백엔드 서버에서 검색 명령을 해석하는 방식을 제어하지 않도록 각별히 주의해야 합니다.
이러한 종류의 트릭이 삽입 공격으로 알려진 이유를 알 수 있습니다. 위의 예에서 악의적인 검색어는 추가 SQL 명령이 요청 처리에 삽입되도록 합니다.
사실, 이 두 가지 예에는 검색 문자열을 일찍 끝내기 위해 몰래 삽입된 "닫는 따옴표" 문자 다음에 두 개의 삽입된 명령이 포함됩니다. 첫 번째 추가 명령은 파괴적입니다. DROP TABLE
지침. 두 번째는 줄의 나머지 부분을 무시하도록 하는 "주석 명령"으로 교활하게 후행을 잡아먹습니다. %'
서버의 명령 생성기에 의해 생성된 문자. 그렇지 않으면 구문 오류가 발생하여 삽입되지 않았을 수 있습니다. DROP TABLE
작업에서 명령.
좋은 소식과 나쁜 소식
이 경우 좋은 소식은 Progress가 취약성을 알게 된 후 클라우드 기반 서비스와 함께 지원되는 모든 MOVEit 버전을 패치했다는 것입니다.
따라서 클라우드 버전을 사용하는 경우 이제 자동으로 최신 상태가 되며, 자체 네트워크에서 MOVEit을 실행 중인 경우 지금쯤 패치를 완료하시기 바랍니다.
나쁜 소식은 이 취약점이 제로데이라는 것입니다. 즉, Bad Guys가 방법을 알아내기 전이 아니라 이미 악용했기 때문에 Progress가 이 취약점을 발견했습니다.
즉, 자체 서버에 패치를 적용할 때(또는 Progress가 클라우드 서비스에 패치를 적용할 때) 사기꾼이 이미 다양한 결과와 함께 MOVEit SQL 백엔드 데이터베이스에 악성 명령을 주입했을 수 있습니다.
- 기존 데이터 삭제. 위와 같이 SQL 인젝션 공격의 전형적인 예는 대규모 데이터 파괴입니다.
- 기존 데이터 유출. 공격자는 SQL 테이블을 삭제하는 대신 자체 쿼리를 주입하여 내부 데이터베이스의 구조를 학습할 뿐만 아니라 가장 중요한 부분을 추출하고 훔칠 수 있습니다.
- 기존 데이터 수정. 보다 교활한 공격자는 데이터를 훔치는 대신(또는 뿐만 아니라) 데이터를 손상시키거나 방해하기로 결정할 수 있습니다.
- 맬웨어를 포함한 새 파일 주입. 공격자는 외부 시스템 명령을 실행하는 SQL 명령을 삽입하여 네트워크 내에서 임의의 원격 코드 실행을 달성할 수 있습니다.
한 그룹의 공격자, 주장 된 악명 높은 Clop 랜섬웨어 갱이 되거나 연결될 Microsoft에 의해, 이 취약점을 사용하여 웹쉘 영향을 받는 서버에서.
webshell에 익숙하지 않은 경우 다음을 읽어보십시오. 평이한 영어 설명자 2021년 XNUMX월 골칫거리 HAFNIUM 공격 당시 게시한 내용:
웹쉘 위험
간단히 말해서, 웹쉘은 공격자가 웹 서버에 새 파일을 추가하여 나중에 다시 돌아와 여유 시간에 침입하고 쓰기 전용 액세스를 완전한 원격 제어에 사용할 수 있는 방법을 제공합니다.
Webshell은 많은 웹 서버가 특정 파일(일반적으로 파일이 있는 디렉토리 또는 확장자에 따라 결정됨)을 실행 가능한 스크립트로 취급하기 때문에 작동합니다. 다시 보낼 페이지를 생성하는 데 사용, 회신에 사용할 실제 내용이 아니라.
예를 들어 Microsoft의 IIS(인터넷 정보 서버)는 일반적으로 웹 브라우저가 다음과 같은 파일을 요청하면 다음과 같이 구성됩니다. hello.html
그러면 해당 파일의 수정되지 않은 원시 콘텐츠를 읽어 브라우저로 다시 보냅니다.
그래서 거기에 악성코드가 있다면 hello.html
파일을 열면 서버 자체가 아니라 서버를 탐색하는 사람에게 영향을 미칩니다.
그러나 파일이 호출되면 다음과 같이 말합니다. hello.aspx
(여기서 ASP는 자기 설명 문구의 약어입니다. Active Server Pages), 그 파일은 서버가 실행할 스크립트 프로그램으로 취급됩니다.
단순히 데이터로 읽는 대신 해당 파일을 프로그램으로 실행하면 응답으로 보낼 출력이 생성됩니다.
즉, 그 안에 악성코드가 있다면 hello.aspx
파일을 열면 해당 파일을 찾아보는 사람이 아니라 서버 자체에 직접적인 영향을 미칩니다.
요컨대, 명령 주입 공격의 부작용으로 웹쉘 파일을 드롭하는 것은 공격자가 나중에 다시 돌아올 수 있고 해당 웹쉘의 파일 이름에 해당하는 URL을 방문하여…
...그들은 일상적인 웹 브라우저에서 생성된 겸손한 HTTP 요청보다 더 의심스러운 것을 사용하여 네트워크 내에서 바로 멀웨어를 실행할 수 있습니다.
실제로 일부 웹쉘은 한 줄의 악성 스크립트로 구성됩니다. 예를 들어 "요청의 특정 HTTP 헤더에서 텍스트를 가져오고 시스템 명령으로 실행합니다"라는 단일 명령입니다.
이를 통해 방문할 올바른 URL과 악성 명령을 전달하는 데 사용할 올바른 HTTP 헤더를 알고 있는 모든 공격자에게 범용 명령 및 제어 액세스를 제공합니다.
무엇을해야 하는가?
- MOVEit 사용자라면, 네트워크에 있는 소프트웨어의 모든 인스턴스가 패치되었는지 확인하십시오.
- 지금 패치를 할 수 없다면, 가능할 때까지 MOVEit 서버에 대한 웹 기반(HTTP 및 HTTP) 인터페이스를 끕니다. 분명히 이 취약점은 MOVEit의 웹 인터페이스를 통해서만 노출되며 SFTP와 같은 다른 액세스 경로를 통해서는 노출되지 않습니다.
- 로그 검색 새로 추가된 웹 서버 파일, 새로 생성된 사용자 계정 및 예기치 않은 대용량 데이터 다운로드. Progress에는 파일 이름 및 검색과 함께 검색할 장소 목록이 있습니다.
- 당신이 프로그래머라면, 당신의 입력을 소독하십시오.
- SQL 프로그래머라면 요청을 보내는 사람이 제어하는 문자를 포함하는 쿼리 명령을 생성하는 대신 매개 변수가 있는 쿼리를 사용했습니다.
지금까지 조사된 대부분은 아니지만 많은 웹쉘 기반 공격에서 진행 상황 제안 라는 이름의 악성 웹쉘 파일을 찾을 수 있습니다. human2.aspx
, 아마도 새로 생성된 악성 파일과 함께 .cmdline
확대.
(Sophos 제품은 알려진 웹쉘 파일을 탐지하고 차단합니다. 트로이/WebShel-GO, 호출 여부 human2.aspx
여부.)
그러나 다른 공격자가 패치가 나오기 전에 이 제로데이에 대해 알았다면 남겨진 맬웨어를 스캔하거나 로그에 표시될 수 있는 알려진 파일 이름.
일반적으로 액세스 로그를 검토하는 것을 잊지 마시고 직접 할 시간이 없다면 두려워하지 마십시오. 도움을 요청!
전단지에 포함된 링크에 대해 더 알아보기 Sophos 관리형 탐지 및 대응:
연중무휴 24시간 위협 사냥, 탐지 및 대응 ▶
사이버 보안 위협 대응을 처리할 시간이나 전문 지식이 부족하십니까? 사이버 보안으로 인해 수행해야 하는 다른 모든 작업에서 주의가 산만해지지 않을까 걱정되십니까?
- SEO 기반 콘텐츠 및 PR 배포. 오늘 증폭하십시오.
- PlatoAiStream. Web3 데이터 인텔리전스. 지식 증폭. 여기에서 액세스하십시오.
- 미래 만들기 w Adryenn Ashley. 여기에서 액세스하십시오.
- PREIPO®로 PRE-IPO 회사의 주식을 사고 팔 수 있습니다. 여기에서 액세스하십시오.
- 출처: https://nakedsecurity.sophos.com/2023/06/05/moveit-zero-day-exploit-used-by-data-breach-gangs-the-how-the-why-and-what-to-do/
- :있다
- :이다
- :아니
- :어디
- $UP
- 1
- 15%
- 2021
- a
- 할 수 있는
- 소개
- IT에 대해
- 위의
- 절대
- ACCESS
- 계정
- 달성
- 행위
- 실제
- 실제로
- 더하다
- 추가
- 추가
- 많은
- 영향을
- 무서워
- 후
- All
- 수
- 따라
- 이미
- 또한
- an
- 와
- 어떤
- 아무것도
- 어딘가에
- 표시
- 있군요
- AS
- At
- 공격
- 공격
- 저자
- 자동
- 자동화
- 자동적으로
- 자동화
- 인식
- 뒤로
- 백엔드
- 배경 이미지
- 나쁜
- BE
- 되었다
- 때문에
- 된
- 전에
- 뒤에
- 이하
- 맹목적으로
- 블록
- 순경
- 경계
- 두
- 바닥
- 위반
- 흩어져
- 브라우저
- 검색
- 버그
- 비자 면제 프로그램에 해당하는 국가의 시민권을 가지고 있지만
- by
- 라는
- 온
- CAN
- 기능
- 한
- 주의
- 만화
- 케이스
- 원인
- 발생
- 원인
- 센터
- 어떤
- 체인
- 문자
- 문자
- 고전적인
- 클라우드
- 암호
- 협동
- 색
- 왔다
- 제공
- 본문
- 회사
- 완전한
- 연결
- 연속적인
- 고려
- 구축
- 함유량
- 제어
- 통제
- 변하게 하다
- 변환
- 법인
- 동
- 수
- 코스
- 엄호
- 만들
- 만든
- 사기꾼
- 고객
- 사이버 보안
- 데이터
- 데이터 위반
- 데이터베이스
- 데이터베이스
- 결정하다
- 배달
- 학과
- 탐지 된
- Detection System
- 결정된
- 개발
- 개발자
- 다른
- 직접
- 디스플레이
- 혼란
- do
- 하지
- 말라
- 다운로드
- 다운로드
- 드롭
- 적하
- 더빙 된
- 마다
- 초기의
- 쉽게
- 이메일
- end
- 오류
- 조차
- EVER
- 일상의
- 예
- 예
- 실행
- 실행
- 현존하는
- 전문적 지식
- 공적
- 드러난
- 확장자
- 외부
- 여분의
- 사실
- 익숙한
- 멀리
- 문채 있는
- 입양 부모로서의 귀하의 적합성을 결정하기 위해 미국 이민국에
- 파일
- Find
- 먼저,
- 따라
- 수행원
- 럭셔리
- 발견
- FRAME
- 에
- 앞
- 프론트 엔드
- 한 떼
- 일반
- 범용
- 일반적으로
- 생성
- 생성
- 생성
- 발전기
- 얻을
- 제공
- 기부
- 좋은
- 큰
- 그룹
- 했다
- 처리
- 있다
- 들었다
- 신장
- 기대
- 가져가
- 방법
- How To
- 그러나
- HTML
- HTTP
- HTTPS
- 수렵
- if
- II
- in
- 포함
- 악명 높은
- 정보
- 주입
- 입력
- 를 받아야 하는 미국 여행자
- 인터페이스
- 인터페이스
- 내부의
- 인터넷
- 으로
- 감다
- 참여
- 발행
- IT
- 그
- 그 자체
- 다만
- 딱 하나만
- 알려진
- 넓은
- 대규모
- 성
- 후에
- 시작
- 배우기
- 왼쪽 (left)
- 적게
- 처럼
- 라인
- 라인
- 명부
- 봐라.
- 조회
- 만든
- 확인
- 제작
- 유튜브 영상을 만드는 것은
- 악성 코드
- 관리
- 관리
- 구축
- .
- 삼월
- 한계
- 어울리는
- 최대 폭
- XNUMX월..
- 평균
- 의미
- 방법
- Microsoft
- 수도
- 배우기
- 가장
- name
- 이름
- 이름
- 필요
- 요구
- 네트워크
- 신제품
- 새로운
- news
- 표준
- 아무것도
- 지금
- of
- 오프
- on
- 일단
- ONE
- 만
- or
- 주문
- 기타
- 그렇지 않으면
- 우리의
- 아웃
- 결과
- 출력
- 자신의
- 페이지
- 매개 변수
- 부품
- 패치
- 폴
- 혹시
- 사람
- 장소
- 플라톤
- 플라톤 데이터 인텔리전스
- 플라토데이터
- 위치
- 가능한
- 게시물
- 아마
- 방법
- 제품
- 프로그램
- 프로그램 제작자
- 진행
- 제공
- 제공
- 출판
- 놓다
- 쿼리
- 견적을 원하시면, 오늘 Kevin Lee Company 에 연락주세요.
- 범위
- 랜섬
- 차라리
- 살갗이 벗어 진
- 읽기
- 읽기
- 정말
- 관련
- 상대적인
- 먼
- 댓글
- 의뢰
- 요청하신
- 요청
- 응답
- REST
- 리뷰
- 연락해주세요
- 달리기
- 달리는
- 같은
- 라고
- 라고
- 스캐닝
- 스크립트
- 검색
- 수색
- 둘째
- 안전해야합니다.
- 참조
- 판매
- 보내다
- 전송
- 민감한
- 전송
- 서비스
- 서비스
- 공유
- 공유
- 짧은
- 표시
- 표시
- 간단히
- 단일
- So
- 지금까지
- 소프트웨어
- 고체
- 일부
- 특별한
- 구체적인
- SQL
- SQL 인젝션
- 스타트
- 성명서
- 저장
- 저장
- 끈
- 구조
- 제출
- 제출
- 이러한
- 제안
- 공급
- 공급망
- 지원
- 의심 많은
- SVG
- 구문
- 체계
- 테이블
- 받아
- 팀
- 기간
- 조건
- 보다
- 그
- XNUMXD덴탈의
- 그들의
- 그들
- 그때
- 그곳에.
- Bowman의
- 그들
- 일
- 이
- 위협
- 세
- 도처에
- 시간
- 에
- 상단
- 이전
- 전송
- 전이
- 투명한
- 치료
- 방아쇠를 당긴
- 회전
- 돌린
- 두
- 까지
- 최신의
- URL
- 사용
- 익숙한
- 사용자
- 시간을 아껴주는 인터페이스
- 사용
- 보통
- 버전
- 를 통해
- 방문
- 취약점
- 였다
- 방법..
- we
- 웹
- 웹 브라우저
- 웹 서버
- 웹 기반
- 주
- 잘
- 했다
- 뭐
- 언제
- 여부
- 어느
- 누구
- 모든
- why
- 의지
- 과
- 없이
- 말
- 작업
- 운동하다
- 워크플로우
- 워크 플로 자동화
- 일하는
- 걱정
- 겠지
- 당신
- 너의
- 당신 자신
- 제퍼 넷