PHP的Git服务器被黑客入侵,源代码被插入后门代码

  • A+
所属分类:安全新闻

PHP的Git服务器被黑客入侵,源代码被插入后门代码



2021年3月28日,有身份不明人士入侵了PHP编程语言的官方Git服务器http://git.php.net,并上传了未经授权的更新包,而包中源代码被插入了秘密后门代码。


这两个恶意提交被推送到git.php.net服务器上的自托管php-src存储库中,使用的是编程语言的作者Rasmus Lerdorf和Microsoft的软件开发人员Nikita Popov的名字Jetbrains。

PHP的Git服务器被黑客入侵,源代码被插入后门代码


PHP方面发布紧急公告指出:

2021-03-28,两个恶意代码分支提交到了php-src repo上,使用的是内部人员的名字,目前内部不知道是如何发生,但是一切都指向了git.php.net服务器可能被入侵的情况。

尽管目前正在调查,但是为了确保安全,我们已经停止了git.php.net服务器,之后会跳转到Github上的镜像存储库中。

PHP的Git服务器被黑客入侵,源代码被插入后门代码

被插入代码地址,实现的功能很显然了。
https://github.com/php/php-src/commit/c730aa26bd52829a49f2ad284b181b7e82a68d7d

PHP的Git服务器被黑客入侵,源代码被插入后门代码


https://github.com/php/php-src/commit/2b0f239b211c7544ebc7a4cd2c977a5b7a11ed8a

PHP的Git服务器被黑客入侵,源代码被插入后门代码


黑鸟在代码中发现含有Zerodium的字符,Zerodium是一个著名的0day漏洞经纪人,这里的字符串很有可能是攻击者为了嫁祸给Zerodium。


PHP的Git服务器被黑客入侵,源代码被插入后门代码


目前安全社区认为,攻击的手段可能是这个:


在2021年2月,有研究人员就发布了一种新颖的供应链攻击,安全研究人员设法破坏了超过35家主要公司的内部系统,包括Microsoft,Apple,PayPal,Shopify,Netflix,Yelp,Tesla和Uber的内部系统,并实现了远程代码执行。


该技术称为依赖混淆(dependency confusion) 或替代攻击,它利用一个软件可能包含来自私有和公共来源的混合依赖库。

PHP的Git服务器被黑客入侵,源代码被插入后门代码

简单来说,就是攻击者首先通过收集大量这些公司的一些私有库(很多是由于github的代码或者js中的代码泄露导致),也就是一些内部会使用的库的名称,而这些库一般是不会传到公有库里面去的,例如pypI、npm。


而这时候,攻击者将恶意代码库命名为私有库名称,并将其伪造成最新的私有库模块上传到公有库中,而有的公司的代码中可能存在错误的更新配置,导致客户端会自动从公有库中下载伪造的“最新”版本而无需要求开发人员采取任何措施,这样在调用库的时候就直接中招了。(仅举例说明,详细请参考链接)


作者采取了DNS传输的方法将数据从受害者的电脑传输到其设备中。

PHP的Git服务器被黑客入侵,源代码被插入后门代码

当然以上都是其他的技术,具体PHP的Git服务器如何被入侵还需要等待详细调查。


如果有定期更新PHP源代码习惯的同学记得检查一二,防止被供应链攻击。


参考链接:

https://news-web.php.net/php.internals/113838

https://medium.com/@alex.birsan/dependency-confusion-4a5d60fec610


PHP的Git服务器被黑客入侵,源代码被插入后门代码

本文始发于微信公众号(黑鸟):PHP的Git服务器被黑客入侵,源代码被插入后门代码

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: