WordPress i SQL Injection. To się daje we znaki

Przeczytaj także: Dziki Zachód w cyberprzestrzeni. Hakerzy rozbijają banki

W ramach badania na stronach należących do grupy H88 (Linuxpl.com, Hekko.pl, H88.pl) oraz w wybranych blogach i serwisach umieszczono skrypty, które zliczały i blokowały podejrzane żądania. Warto przy tym podkreślić, że wprawdzie każda z badanych stron ma własny „profil ataków”, to jednak ich typy w większości się pokrywają. W pierwszych sześciu miesiącach bieżącego roku zarejestrowanych zostało 101121 adresów IP, które okazały się źródłem 114711 incydentów. W oparciu o te dane określono obszary geograficzne, z których pochodziły ataki i wskazano na najczęściej pojawiające się typy zagrożeń.

Atakują głównie z zagranicy

Analiza dowiodła, że niemal połowa problematycznych żądań pochodziła z terytorium Finlandii. Na kolejnych pozycjach uplasowały się Francja, Ukraina, Rosja, Kanada oraz Chiny. Wewnętrznym atakom z Polski przypadło siódme miejsce, a ostatnie trzy miejsca czołowej dziesiątki zajęły Stany Zjednoczone, Irlandia oraz Włochy.

Dominują ataki na WordPress i SQL Injection

W badaniu najwięcej zarejestrowano prób dotarcia do pliku odpowiedzialnego za XML-RPC w systemie CMS WordPress. To mechanizm zdalnego wywoływania procedur, który – jeśli wykorzysta się go niewłaściwie – potrafi bardzo szybko i efektywnie „popsuć” stronę.

„Mechanizm ten jest rzadko potrzebny na stronach. Tam, gdzie zainstalowaliśmy nasz monitoring zagrożeń, był on wyłączony. Mimo to roboty uparcie o niego odpytywały, co traktowaliśmy jako szukanie podatności. Zarejestrowaliśmy ponad 133 tys. takich prób ataków. Interesującą kategorią ataków było też szukanie podatności w pluginach i to nawet, jeśli strona w ogóle nie działała w oparciu o WordPress’a! To tylko pokazuje, jak istotnym jest, żeby stosować aktualne wersje wtyczek i szablonów” – mówi Artur Pajkert z Linuxpl.com

Drugim co do powszechności zagrożeniem okazał się atak SQL Injection – H88 zarejestrował prawie 11 tys. prób ataków tą metodą. Polega ona na spreparowaniu informacji w taki sposób, aby aplikacja wykonała polecenie bazodanowe, którego nie przewidział autor aplikacji. W ten sposób atakujący zamiast np. zapisać się na newsletter, może próbować otrzymać listę wszystkich zapisanych osób, do czego nie powinien być uprawniony.

„Dojrzałe aplikacje powinny być zabezpieczone przed takimi atakami. Natomiast zdarza się, że nawet do dojrzałego systemu, np. WordPress’a, ktoś zainstaluje mniej dojrzałą wtyczkę lub motyw – wówczas kłopot gotowy!” – tłumaczy Artur Pajkert.

Zalewa nas spam

Kolejną najpopularniejszą formą ataków na polskie strony internetowe jest „flood fill”. Ten rodzaj ataków zdefiniowano jako próbę zalania formularza na stronie (np. kontaktowego, do komentowania wpisów na blogu, do zakładania usług) masowymi wpisami o charakterze spamerskim.

„Bardziej od treści szkodliwy jest masowy charakter takiego działania, które może powodować wykorzystanie limitów serwera, sparaliżowanie pracy osób obsługujących takie zgłoszenia, czy radykalne obniżenie atrakcyjności strony w oczach zwykłych użytkowników” – wyjaśnia Artur Pajkert.

Odmianą tego typu ataku jest masowe wysyłanie do strony żądań zawierających wpisy, które mają skłonić do kliknięcia w określony link – czy to człowieka, czy też robota Google. Pojawiać się mogą one jako recenzje produktów, zgłoszenia serwisowe, komentarze pod wpisami itp.

„Najwięcej było spamu zawierającego podejrzane linki, reklam środków na potencję, odchudzanie i porost włosów, ofert finansowych, porno oraz innych ofert darmowych usług i produktów przeróżnego rodzaju” – mówi Artur Pajkert.

Inne zagrożenia

Do innych zarejestrowanych zagrożeń należały także: Brute Force, AFD (Arbitrary File Download), System Words oraz XSS (Cross-Site-Scripting). Atak typu Brute Force polega na próbie „odgadnięcia” hasła do serwisu przez sprawdzenie wszystkich możliwych kombinacji. Z kolei atak AFD wykorzystuje lukę związaną z brakiem filtrowania zmiennej obsługującej pobieranie plików lub nadmierne uprawnienia w niewłaściwie skonfigurowanym serwerze – takie, które powodują pobranie dowolnego pliku

System Words to atak znany szerzej jako „path traversal” – czyli skanowanie podatności serwera na dostęp do plików systemowych przez wychodzenie do wyższego poziomu ścieżek systemowych. Atakujący robi to wszystko z nadzieją, że natrafi na ścieżkę umożliwiającą odczyt ważnego pliku, np. zawierającego informacje o nazwach użytkowników i hasłach.

Atak XSS sprowadza się natomiast, najogólniej mówiąc, do osadzenia w treści atakowanej strony kodu, który wyświetlony innym użytkownikom może doprowadzić do wykonania przez nich niepożądanych akcji. Dzieje się to przez przemycenie takiego kodu na przykład w polu formularza, gdzie zamiast imienia podajemy skrypt, który ma się wykonać, kiedy wprowadzone imię miało być wyświetlone w przeglądarce.