حملات پوسته وب چیست؟ چگونه از وب سرورهای خود محافظت کنیم؟

در طول یک حمله پوسته وب، یک مجرم سایبری یک فایل مخرب را به دایرکتوری وب سرور هدف تزریق می کند و سپس آن فایل را از مرورگر وب خود اجرا می کند.

پس از راه اندازی یک حمله پوسته وب موفق، مجرمان سایبری می توانند به منابع حساس دسترسی پیدا کنند، سیستم مورد نظر را در یک بات نت استخدام کنند یا مسیرهایی را برای تزریق بدافزار یا باج افزار ایجاد کنند.

اگر استراتژی های دفاعی در برابر این تهدید سایبری را اجرا نکرده اید، سیستم های شما در معرض خطر بهره برداری بالایی هستند. به گفته مایکروسافت، حملات ماهانه پوسته وب تنها در سال گذشته دو برابر شده است.

پوسته وب چیست؟

پوسته وب یک اسکریپت مخرب است که به هر یک از زبان های محبوب برنامه های وب - PHP ، JSP یا ASP نوشته شده است. آنها بر روی یک سیستم عامل وب سرور نصب می شوند تا مدیریت از راه دور را تسهیل کنند.

هنگامی که یک پوسته وب مسلح می شود، می تواند به عوامل تهدید اجازه دهد تا فایل ها را تغییر دهند و حتی به دایرکتوری ریشه سرور وب مورد نظر دسترسی داشته باشند.

هم سرورهای رو به اینترنت و هم سرورهای غیر اینترنتی (مانند سرورهای میزبانی منابع) می توانند قربانی حملات پوسته وب شوند.

حملات پوسته وب یک تاکتیک حمله سایبری مناسب است زیرا اجرای آنها به برنامه های اضافی نیاز ندارد. یک کانال ارتباطی را می توان به سادگی از طریق پروتکل HTTP در مرورگرهای وب به دست آورد - به همین دلیل است که ترجیح دادن پروتکل های HTTPS بسیار مهم است.

حملات پوسته وب چگونه کار می کنند؟

مهاجمان سایبری ابتدا سرورهایی را با قرار گرفتن در معرض آسیب پذیری در برابر حملات پوسته وب از طریق نرم افزارهای اسکن مانند Shodan.io پیدا می کنند.

Shodan تمام دستگاه های متصل به اینترنت، از جمله وب سرورها و نقاط پایانی را که می توانند به عنوان بردارهای حمله به وب سرورهای مخفی عمل کنند، ظاهر می کند.

هنگامی که یک آسیب پذیری کشف می شود، مهاجمان سایبری بلافاصله قبل از نصب پچ برای نوردهی، یک حمله پوسته وب را آغاز می کنند.

بهره برداری از آسیب پذیری CVE-2020-5902 نمونه ای از سرعت استفاده مجرمان سایبری از مواجهه هایی است که تزریق پوسته وب را تسهیل می کند.

در 30 ژوئن 2020، F5 Networks یک پچ برای رابط کاربری مدیریت ترافیک (TMUI) خود منتشر کرد. این آسیب پذیری اجرای کد از راه دور (RCE) را تسهیل می کند - نوعی حمله سایبری که شامل تزریق کدهای مخرب از راه دور به یک سیستم هدفمند است.

پس از انتشار آسیب پذیری در 30 ژوئن، در 4 ژوئیه (فقط چهار روز بعد)، یک کد اکسپلویت که برای سوء استفاده از قرار گرفتن در معرض استفاده استفاده می شد، کشف شد.

اولین مرحله عفونت سرور، نفوذ به لایه بیرونی اکوسیستم آن است. این معمولا با فشار دادن پوسته های وب خراب از طریق صفحات وب آپلود فایل به دست می آید.

پس از این، از یک آسیب پذیری Local File Include (LFI) برای اتصال پوسته وب به یک صفحه برنامه وب انتخاب شده استفاده می شود.

بسیاری از استراتژی های تزریق پوسته وب دیگر از جمله شناسایی و به خطر افتادن رابط های مدیریت در معرض خطر، اسکریپت نویسی بین سایتی (XSS) و تزریق SQL وجود دارد.

پس از نصب پوسته وب، به طور طبیعی یک درب پشتی ایجاد می شود که به مجرمان سایبری امکان دسترسی مستقیم از راه دور به وب سرور در معرض خطر را در هر زمان می دهد.

کارایی ایجاد درب پشتی با پوسته های وب دلیلی است که حملات پوسته وب در درجه اول به عنوان مکانیسم های ماندگاری استفاده می شود - ایجاد یک شبکه داخلی مخرب طولانی مدت.

به همین دلیل، نقض داده ها و تزریق باج افزار به ندرت بلافاصله به دنبال حمله پوسته وب است. هکرها معمولا فقط یک کانال دسترسی برای حمله آینده یا ماموریت شناسایی ایجاد می کنند.

نمونه ای از حمله Web Shell

حمله بزرگ پوسته وب اخیر که تیتر خبرها را به خود اختصاص داد، توسط گروه مجرمان سایبری چینی، هافنیوم، در مارس 2021 اجرا شد. پوسته وب درگیر در این حمله، بدافزاری به نام China Chopper بود که از طریق یک آسیب پذیری حیاتی در سرورهای Microsoft Exchange تزریق شد.

چیزی که پوسته وب China Chopper را به ویژه سمی کرد این بود که درب پشتی که در سیستم آلوده ایجاد کرد، حتی پس از وصله آسیب پذیری سرور، باقی ماند.

چگونه پوسته های وب را شناسایی کنیم؟

تشخیص پوسته های وب دشوار است زیرا می توانند در فایل های به ظاهر بی ضرر پنهان شوند.

به عنوان مثال، یک اسکریپت پوسته وب می تواند در یک عکس تعبیه شود و در وب سرور مورد نظر آپلود شود. هنگامی که این آپلود تجزیه و تحلیل می شود، هیچ چیز غیرعادی شناسایی نمی شود - به هر حال، فقط یک عکس است.

اما از آنجایی که سرورهای وب به فایل های رسانه ای برای اجرای سمت سرور ارجاع می دهند، عکس را می توان از یک مرورگر وب درخواست کرد که سپس کدگذاری مخرب آن را فعال می کند.

برای غلبه بر این چالش، کنترل های امنیتی باید در رابط سرورهای رو به اینترنت و اینترنت اجرا شود تا تمام نوشته های فایل اسکریپت و اجرای فرآیند تجزیه و تحلیل شود.

این لایه حفاظتی را می توان از طریق Defender for Endpoints توسط مایکروسافت به دست آورد.

روش دیگر با دقت چشمگیر، مقایسه فایل های مشکوک به فساد با پایگاه داده ای از نحو پوسته وب شناخته شده است. این را می توان با Shell Detector به دست آورد.

نحوه مسدود کردن تزریق Web Shell

رسیدگی به آسیب پذیری هایی که تزریق پوسته وب را تسهیل می کنند بسیار آسان تر از رهگیری حملات پوسته وب است.

کنترل ها و ابزارهای امنیتی پیشنهادی زیر باید برای مکان یابی و اصلاح تمام نقاط تزریق پوسته وب ممکن در اکوسیستم فناوری اطلاعات شما استفاده شود.

1. با آخرین وصله های امنیتی به روز باشید

آسیب پذیری های امنیتی رایج ترین مسیرها برای حملات پوسته وب هستند. برای مسدود کردن این نقاط ورود، مطمئن شوید که همه برنامه های وب، سیستم های مدیریت محتوا، نرم افزار وب سرور و نرم افزارهای شخص ثالث را با آخرین وصله های امنیتی به روز نگه دارید.

به طور منظم به دایرکتوری آسیب پذیری ها و قرار گرفتن در معرض های رایج مراجعه کنید تا از آخرین مواجهه هایی که می تواند بر راه حل های نرم افزاری شما تأثیر بگذارد مطلع شوید.

2. عملکردهای وب سرور غیرضروری را غیرفعال کنید

اگر یک پوسته وب تزریق شود، اگر توابعی که با اسکریپت های وب سرور ارتباط برقرار می کنند در php.ini غیرفعال باشند، اجرای آن مسدود می شود.

چنین عملکردهای وب سرور عبارتند از:

• اجرایی()
• eval()
• پوسته _exec()
• assert()

3. تغییر نام دایرکتوری های حساس

برای جلوگیری از آپلود فایل های تصاویر خراب، دایرکتوری هایی که چنین آپلودهایی را تسهیل می کنند در حالت ایده آل باید به طور کامل غیرفعال شوند.

اگر چنین مکانیسم بارگذاری لازم باشد، نام های پیش فرض این دایرکتوری های حساس باید تغییر کنند تا کشف آنها دشوارتر شود. فقط کاربران ممتاز باید اجازه دسترسی به این تغییرات را داشته باشند تا حملات تهدیدات داخلی را کاهش دهند.

علاوه بر این، فیلتری را برای انواع فایل های مجاز که می توانند در وب سرور شما آپلود شوند، مشخص کنید.

4. تمام افزونه های غیر ضروری وردپرس را غیرفعال کنید

افزونه های وردپرس بردارهای حمله رایج هستند زیرا هر کسی مجاز به توسعه آنها است - حتی مجرمان سایبری.

برای ایمن سازی این بردارها، مطمئن شوید که فقط افزونه های توسعه دهندگان مورد اعتماد را نصب کرده و همه افزونه های غیر ضروری را حذف نصب کنید.

5. پیاده سازی فایروال

فایروال برنامه وب (WAF) برای جلوگیری از تزریق پوسته های وب و بارهای مخرب به یک اکوسیستم با فیلتر کردن تمام ترافیک شبکه طراحی شده است.

مانند نرم افزار آنتی ویروس، مهم است که فایروال خود را با آخرین وصله های امنیت سایبری به روز نگه دارید.

6. نظارت بر یکپارچگی فایل را پیاده سازی کنید

یک راه حل نظارت بر یکپارچگی فایل، به روزرسانی های دایرکتوری را با مهرهای زمانی اسکریپت های دایرکتوری تمیز مقایسه می کند. اگر مغایرتی شناسایی شود، نصب درخواستی در دایرکتوری کد وب سرور مورد نظر مسدود می شود یا یک هشدار امنیتی فعال می شود.

7. سطح حمله خود را کنترل کنید

یک راه حل نظارت بر سطح حمله، اسکن های آسیب پذیری کل سطح حمله را تکمیل می کند - هم در داخل و هم در سراسر شبکه فروشنده. این به تیم های امنیتی اجازه می دهد تا قبل از کشف و سوء استفاده توسط مهاجمان سایبری، قرار گرفتن در معرض خطر را اصلاح کنند.