1

mysql-slow-logsを参照して、潜在的な最適化を確認していましたが、その中に奇妙なスキーマがあることに気づきました（以下を参照）。

SELECT password, type FROM accounts AS a  JOIN sys_users AS s ON (a.id = s.account_id) WHERE s.login='**DICTIONARY_USER_NAME_HERE**'  AND (SELECT count(*) FROM hosting   AS h WHERE h.sys_user_id = s.id) = 0  AND (SELECT count(*) FROM web_users AS w WHERE w.sys_user_id = s.id) = 0  AND (SELECT count(*) FROM ftp_users AS f WHERE f.sys_user_id = s.id) = 0;

さらに恐ろしいのは、これらのクエリがadmin @ localhost（Plesk MySQLユーザーに指定されている）から実行されることです。

チェックインしましたが、Pleskはパスワードの一部をプレーンテキストで保存しているようです。これらのクエリは、ログインを推測するための明白な辞書メソッドであるため、mysqlはプレーンテキストのパスワードで応答します。

要約すると

  • admin@localhostと呼ばれるクエリ
  • プレーンテキストのパスワードをplesks

攻撃のベクトルが何であるかはわかりませんが、いくつかのことを考慮に入れると、次のようになります。

  • 攻撃者は管理者のパスワードを使用しなくなりました。そうしないと、辞書の代わりに正確なクエリを実行できます。
  • 攻撃者は明らかにssh/リモートmysqlの実行を行っていません
  • 異なるOS、異なる構成で実行され、コンテンツ（Webサイト/アプリまたは攻撃の可能性のあるベクトルとなる可能性のあるもの）が含まれているサーバーの両方で観察したので、おそらくpleskの障害です。
  • 最も可能性が高いのは、攻撃者（この場合はボット）がPleskのセキュリティで保護されていないスクリプト（ログインを必要とせずにそのようなクエリを許可するスクリプト）を介してクエリを実行していることです。

今、私は完全に間違って状況を誤解している可能性があり、それはある種の完全に正常なPleskアクションです（私は疑っています）また奇妙なのは、この脆弱性についてGoogleで何も見つからなかったことです

いくつかの技術/ソフトの背景：

  • VPS
  • 1xCentOS 5 / 1xDebian（両方ともx64）
  • PleskPanelv。10.4.4

誰かがその問題/攻撃に遭遇したこと、そしておそらく攻撃者を防ぐための何らかの解決策に遭遇したことを誰かが確認できれば、私は非常に素晴らしいでしょう-彼は最終的にログインを推測するかもしれませんが、まだそれを取得していません。

v。11へのアップグレードは今のところ議論の余地があります-VPSプロバイダーはまだそれを行うことができないと言いました、私はプロジェクトを他のVPSに移動することはできません、または少なくともそれほど速くはありません

よろしくお願いします、アダム

4

2 に答える 2

0

約1年前にPleskのセキュリティについて大きな話題がありましたが、Plesk10.4は常に安全であると報告されています。

パスワードをプレーンに保存するシステムの場合、SQLクエリを使用してパスワードを取得するのが通常です。クエリはSQLインジェクションのようには見えないため、Plesk自体のアクティビティである可能性がありますが、実際には攻撃者がアクティビティを開始する可能性があります。

攻撃者は、辞書ログインを試すために、Pleskにセキュリティで保護されていない特別なスクリプトを用意する必要はありません。彼らはいつでもあなたのログインページを取得し、一致するまで辞書のログイン/パスワードのさまざまな組み合わせを試すことができます。悪用されたさまざまなシステムから取得したログイン/パスワードのペアのプールが存在する可能性があると思います。人々はログインとパスワードを再利用することが多いので、攻撃者は多くのサーバーを試すとチャンスがあります。おそらくあなたのサーバーは彼らがスキャンしている他の1000のサーバーの1つです。

実際にスキャンした場合は、MySQLログにこれらのクエリが多数表示され、アクセスログにコントロールパネルへのアクセスが複数回試行されていることがわかります。これを停止するには、信頼できるIPのリストを除くすべてのユーザーに対して、ファイアウォール（またはアクセス制限）を介してPleskへのアクセスをブロックする必要があります。

于 2013-01-23T12:49:10.393 に答える
0

Plesk 12.5のインストールでは、sshでログオンしようとすると、これらのクエリがログに表示されることがわかりました。これは、mysql.logをauth.logと相関させることで確認できます。

sshに対する辞書攻撃があると、ログにこれらのクエリが大量に表示されます。

sshポートを一般的でないもの（1337？）に変更できる場合は、通常、スクリプトによる攻撃の標的になることを避けます。

于 2020-01-25T23:38:13.200 に答える