کالبدشکافی یک حمله زنجیره‌ای؛ سوءاستفاده از آسیب‌پذیری PHP2Shell برای نفوذ به سرورهای دولتی

مقدمه و زمینه

اخیراً پژوهشگران امنیتی ابعاد یک عملیات سایبری پیچیده را کشف کرده‌اند که در آن مهاجمان با زنجیر کردن یک آسیب‌پذیری اجرای کد از راه دور (RCE) در مفسر PHP و یک آسیب‌پذیری ارتقای سطح دسترسی (LPE) در هسته لینوکس، توانستند دسترسی کامل به ریشه (Root) روی چندین فایروال تجاری پیدا کنند. این کمپین که ردپایی از ابزارهای هوش مصنوعی و مدل‌های زبانی در ساختار اسکریپت‌های آن دیده می‌شود، توانست ۲۵ سرور مختلف را در سطح جهان هک کرده و به شبکه‌های داخلی نهادهای دولتی ایالات متحده نفوذ کند.

جزئیات فنی اکسپلویت زنجیره‌ای

این حمله به صورت یک درخواست HTTP منفرد و بدون نیاز به هیچ‌گونه اعتبارنامه اولیه انجام می‌شود. مهاجمان دو آسیب‌پذیری کاملاً مجزا را به یکدیگر متصل کرده‌اند:

• آسیب‌پذیری PHP2Shell: این آسیب‌پذیری مکانیسم session.upload_progress را در سرور وب اپلیکیشن فایروال هدف قرار می‌دهد. مهاجمان با ارسال درخواست‌های حجاب چندبخشی (Multipart POST) باعث از کار افتادن مدیریت حافظه (Memory Exhaustion) شده و سپس با خواندن داده‌های خارج از محدوده (Out-of-bounds Read)، آدرس پایه کتابخانه libphp.so را به دست می‌آورند. در مرحله نهایی، با جعل یک ساختار HashTable در حافظه آزادشده و هدایت کال‌بک به تابعی سیستمی، دستورات دلخواه خود را با دسترسی کاربر عادی اجرا می‌کنند.
• آسیب‌پذیری Fragnesia (ارتقای سطح دسترسی هسته): از آنجا که سطح دسترسی اولیه به دلیل محدودیت‌های SELinux برای تغییر فایل‌های سیستمی کافی نیست، مهاجمان از یک آسیب‌پذیری در زیرسیستم XFRM ESP-in-TCP لینوکس بهره می‌برند. این اکسپلویت با بازنویسی فایل /etc/pam.d/su و جایگزینی قوانین احراز هویت با ماژول pam_permit.so، به مهاجم اجازه می‌دهد بدون نیاز به رمز عبور، دستورات su root را با موفقیت اجرا کند.

مشخصات نسخه‌ها و آماده‌سازی در محیط آزمایشگاهی

این اکسپلویت نیازمند آفست‌های دقیق حافظه است که در نسخه‌های مختلف سیستم‌عامل فایروال تفاوت دارد. در بررسی آرتیفکت‌های به‌جا‌مانده از مهاجمان، مشخص شد آن‌ها ۱۱ فایل پروفایل JSON از نسخه‌های مختلف فایروال به همراه هش‌های SHA256، شناسه‌های ساخت ELF و پارامترهای هندسی حافظه تهیه کرده بودند تا از پایداری اکسپلویت اطمینان حاصل کنند.

قیف نفوذ و هدف‌گیری استراتژیک

مهاجمان عملیات خود را در قالب یک قیف سیستماتیک پیش بردند:

1. کشف جهانی: با استفاده از موتور جستجوی اینترنتی FOFA، حدود ۱۹,۰۰۰ فایروال متصل به اینترنت شناسایی شدند.
2. انگشت‌نگاری نسخه‌ها: اسکنر سفارشی مهاجمان نسخه سیستم‌عامل ۵,۰۰۰ دستگاه آنلاین را استخراج کرد.
3. فیلترینگ جغرافیایی: هدف‌گیری روی کشورهای ایالات متحده، ژاپن، تایوان و کره جنوبی متمرکز شد و در نهایت ۲۴۰ فایروال واجد شرایط فیلتر شدند.
4. بهره‌برداری خودکار: پس از اجرای اتوماتیک زنجیره اکسپلویت، ۲۴ فایروال روت شده و یک وب‌شل سبک روی آن‌ها کاشته شد.
5. جهش به شبکه داخلی: مهاجمان با تمرکز روی سرورهای یک نهاد دولتی، یک تونل معکوس SSH پایدار ایجاد کرده و از طریق آن به کنترل‌کننده‌های دامنه Active Directory و سرور مدیریتی فایروال دسترسی پیدا کردند.

چرا این مسئله برای مهندسین نرم‌افزار و امنیت مهم است؟

این رویداد بار دیگر اهمیت مانیتورینگ دقیق و عدم قرار دادن رابط‌های مدیریتی (Management Interfaces) روی بستر اینترنت عمومی را نشان می‌دهد. حتی آسیب‌پذیری‌های پیچیده در پشته‌های وب مانند PHP می‌توانند با ترکیب با باگ‌های کرنل، به شکست کامل لایه‌های امنیتی سازمان منجر شوند. همچنین استفاده مهاجمان از ابزارهای خودکار و پلتفرم‌های مجهز به هوش مصنوعی برای توسعه و هماهنگ‌سازی اسکریپت‌ها، سرعت توسعه اکسپلویت‌های مدرن را به شدت افزایش داده است.