Agħraf cronjobs moħbija bħala backdoor

Fil-qosor: Cronjob moħbi huwa wieħed mill-backdoors l-aktar komuni fuq servers tal-Linux: iniżżel kodiċi malizzjuż regolarment jew jerġa' jibda proċessi, anke wara aġġornament ta' PHP. Iċċekkja l-postijiet kollha tal-kompiti skedati, mhux biss crontab -l: crontabs tal-utenti kollha, /etc/crontab, /etc/cron.d, il-folders cron, timers ta' systemd u kompiti at. Salva s-sejbiet qabel ma tneħħihom.

Għaliex cronjobs huma tant popolari bħala backdoor

Wara dħul b'suċċess attakkant għandu problema: l-aċċess tiegħu huwa fraġli. Aġġornament jagħlaq il-vulnerabbiltà, amministratur iħassar il-webshell, restart itemm il-proċess. Cronjob isolvi din il-problema. Jibda kmandi f'ħinijiet fissi, mingħajr ma jintervjeni xi ħadd, u hekk jerġa' jistabbilixxi aċċessi mitlufa.

Għal PHP2Shell m'hemm l-ebda Indicators of Compromise ikkonfermati. Cronjobs ġodda, madankollu, skont ir-rapporti li għandna quddiemna, jagħmlu parti mis-sinjali ġenerali ta' twissija wara dħul permezz ta' applikazzjonijiet tal-web. Min diġà fittex webshells għandu jiċċekkja l-kompiti skedati fl-istess ħin. Il-passi l-oħra ta' segwitu telenkahom il-Lista ta' kontroll wara hack.

Fejn jistgħu jinħbew kompiti skedati

Linux jaf diversi mekkaniżmi għal kompiti skedati. Ħafna verifiki jfallu għax jitħares lejn wieħed minnhom biss.

Importanti għas-server tal-web: l-utent tas-server tal-web ġeneralment jista' joħloq il-crontab proprju tiegħu, mingħajr drittijiet ta' root. Attakkant bid-drittijiet ta' www-data għalhekk ma jeħtieġx vulnerabbiltà oħra għal dan. Daħliet f'/etc/cron.d jew units ta' systemd, min-naħa l-oħra, jindikaw li kiseb drittijiet ta' root.

Panels tal-hosting bħal Plesk jew cPanel joffru interface proprja għal kompiti skedati. Wara hemm ġeneralment ukoll crontabs tal-utenti rispettivi tas-sistema. Min iħares biss fl-interface għalhekk ma jagħrafx kull daħla li nħolqot direttament fuq is-server. Fid-dubju iċċekkja t-tnejn.

Kif tivverifika l-postijiet kollha kompletament

Il-kmandi li ġejjin jaqraw biss. Esegwihom bħala root u aħżen l-outputs bid-data.

# Ħrġu l-crontabs tal-utenti kollha
for u in $(cut -d: -f1 /etc/passwd); do
  out=$(crontab -l -u "$u" 2>/dev/null) && printf '### %s\n%s\n' "$u" "$out"
done

# Daħliet tas-sistema kollha u ħinijiet tal-bidla
cat /etc/crontab
ls -la --time-style=full-iso /etc/cron.d /etc/cron.hourly /etc/cron.daily /etc/cron.weekly /etc/cron.monthly

# Timers ta' systemd u kompiti at
systemctl list-timers --all
atq 2>/dev/null

# Fittex mudelli tipiċi fil-fajls cron kollha
grep -rnE "curl|wget|base64|/tmp/|/dev/shm|\| *(ba)?sh" /etc/crontab /etc/cron.* /var/spool/cron 2>/dev/null

Żewġ tricks jixirqilhom attenzjoni partikolari. Xi daħliet jaħbu kmandi wara ħafna spazji, b'mod li fl-editur joħorġu mix-xellug 'il barra mill-iskrin. Oħrajn jużaw karattri ta' kontroll li fl-għarrieda jissostitwixxu t-test. B'cat -A karattri bħal dawn isiru viżibbli:

cat -A /var/spool/cron/crontabs/www-data 2>/dev/null | less

Perspettiva oħra huma l-protokolli tas-servizz cron. Fuq ħafna sistemi cron jinnota kull eżekuzzjoni bl-utent u l-kmand. Hekk tara wkoll daħliet li attakkant neħħa fil-frattemp, u tagħraf sa minn meta jaħdem kmand suspettuż:

# Kmandi cron esegwiti mill-utent tas-server tal-web (Debian/Ubuntu jew journal ta' systemd)
grep -h "CRON" /var/log/syslog* 2>/dev/null | grep -E "\((www-data|apache|nginx)\) CMD"
journalctl -u cron -u crond --since "2026-10-17" --no-pager 2>/dev/null | grep CMD | head -100

Kif tagħraf backdoor ta' cronjob

1. Tniżżil mill-internet: Download li r-riżultat tiegħu jingħadda direttament lil shell.
2. Kontenut kodifikat: Sekwenzi twal ta' karattri li jiġu dekodifikati biss waqt it-tħaddim.
3. Mogħdijiet mhux tas-soltu: Programmi f'/tmp, /dev/shm, folders moħbija jew direttorji tal-upload.
4. Utent żbaljat: Kompiti taħt l-utent tas-server tal-web, għalkemm l-applikazzjoni ma teħtieġ ebda.
5. Ritmu li jaqbad l-għajn: Eżekuzzjoni kull minuta jew f'kull restart permezz ta' @reboot.
6. Timestamps mhux xierqa: Fajl mibdul f'perjodu li fih ħadd ma ħadem fuq is-server, pereżempju wara s-17 ta' Ottubru.

Tinsiex: anke l-applikazzjonijiet għandhom skedi proprji. WordPress, pereżempju, jamministra kompiti skedati fid-database. Kif tivverifika hemmhekk tiddeskrivih Sib backdoors f'WordPress.

Salva s-sejba, fehem, imbagħad neħħi

Cronjob malizzjuż huwa biċċa prova prezzjuża. Juri l-indirizz tat-tniżżil, il-mument tal-ħolqien u spiss l-utent li minnu daħal l-attakkant. Salva l-fajl bil-checksum u t-timestamps, qabel ma tneħħih. It-timestamp jgħin aktar tard biex tiġi rikostruwita s-sekwenza; kif isir juri Oħloq l-iskeda taż-żmien ta' inċident. Anke għal notifika possibbli lill-awtorità tal-protezzjoni tad-data jew għall-assiguratur is-sejba hija prova importanti ta' sa minn meta l-attakkant kellu aċċess.

It-tneħħija waħedha mhijiex biżżejjed. Jekk għad hemm proċess li jerġa' jikteb id-daħla, tkun lura wara l-minuta li jmiss. U sakemm il-vulnerabbiltà oriġinali tibqa' miftuħa, l-attakkant jista' jerġa' jipprova f'kull ħin. Is-sekwenza għalhekk hija: salva, agħlaq il-kawża, neħħi l-partijiet kollha, biddel l-aċċessi, issorvelja.

Assigura l-cronjobs b'mod preventiv

Biex backdoor ta' cronjob ma tkunx tista' tinħoloq jew tidher malajr, jgħinu tliet miżuri. L-ewwel, jista' jiġi stabbilit liema utenti jistgħu jagħmlu crontab. Jekk jeżisti l-fajl /etc/cron.allow, jistgħu jużaw crontab biss l-utenti msemmija hemm. Jekk l-applikazzjoni tiegħek ma teħtieġ ebda cronjob taħt l-utent tas-server tal-web, dan l-utent ma jappartjenix fil-lista. Iċċekkja qabel liema kompiti l-applikazzjoni tassew teħtieġ, u oħloqhom intenzjonalment taħt utent proprju.

It-tieni, tixraq sorveljanza tal-fajls. Għodda tal-verifika tal-integrità tirrapporta hekk kif fajl fid-direttorji cron jew taħt /var/spool/cron jinbidel. It-tielet, il-kompiti skedati jappartjenu fid-dokumentazzjoni tas-server: min jaf liema daħliet għandhom ikunu hemm jagħraf waħda barranija minnufih.

Kif tgħin PHP SOS b'mod konkret?

• Niċċekkjaw b'mod komplut: Neżaminaw il-mekkaniżmi kollha għal kompiti skedati, anke timers ta' systemd, kompiti at u skedi tal-applikazzjonijiet.
• Nikklassifikaw is-sejbiet: Nevalwaw daħliet suspettużi mingħajr ma neżegwuhom u nsegwu traċċi oħra.
• Intnaddfu sew: Bit-Tneħħija tal-malware neħħu l-partijiet kollha u nagħlqu l-kawża.
• Nagħrfu r-ritorn: Nissettjaw sorveljanza li tirrapporta kompiti skedati ġodda jew mibdula.

Mistoqsijiet frekwenti

Sorsi

• BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni
• BSI IT-Grundschutz (Ġermanja)
• OWASP Cheat Sheet Series