从一个0day漏洞看数据中心防护效果大比拼

记得郭德纲有这么一个著名的段子：家中屋漏，外面下小雨，屋里下大雨；外面下大雨，全家人就只能站到院子里避雨。如果我们把屋子换成伞，外面下雨，伞里也下雨，你还会用这样的伞吗？   “简直是笑话，谁会用这样的伞？”，你可能会这么说。不过，是不是有漏雨的伞，咱先别着急下结论。这凡事都有个体验和比较。没有体验和比较，你就不知道到底什么样的伞叫好伞。   在前两天阿里云论坛的安全版块里有这么一个有趣儿的热帖。在这个帖子里，楼主讲了这么一个有趣儿的事儿：“我现在操作2个网站： 一个心理测试大百科www.A.com，部署在阿里云，开通云盾。另 一个是www.B.cn，部署在XX数码。 昨天这2个网站后台都发现了同样的警告框。但是只有XX数码上的www.B.cn中招了。 2个程序版本一样，为什么阿里云上的心理测试大百科www.A.com没中招呢? ”   楼主所谓的“中招”是指在他采用PHPCMS系统的网站后台多了一个超级管理员用户－pcmanage。而这个pcmanage超管用户并非他自己添加，而是被别人偷偷地加上去的。   好个从石头缝里蹦出来的孙悟空。开过网站的小伙伴想必都应该非常清楚事情的严重性了。PHPCMS系统的“超级管理员”就像它的命名一样，拥有对网站系统的一切权限。如果黑客拥有了攻击目标网站的超级管理员账号，后果可想而知。   那么，黑客是如何偷偷添加超级管理员账号的呢？简言之，黑客利用PHPCMS系统的0day漏洞，窃取了网站专门用来防护跨站攻击的Token，通过劫持管理员的HTTP会话，在管理员丝毫没有察觉的情况下，利用管理员的身份成功添加了超级管理员账户——一个无所不能的孙悟空。   有些拗口，别急，下面我们详细说说黑客是怎么攻击的。经过阿里云安全技术团队的分析，黑客当时是利用了PHPCMS系统存在的一个漏洞发起了CSRF攻击，最终添加了超管账号。   CSRF（Cross-site request forgery），中文名称跨站请求伪造，是在用户会话下通过第三方网站发起GET/POST的请求——这些请求用户未必知道和愿意做，可以把它视作一种HTTP会话劫持。下图是典型的CSRF攻击过程：  

关注公众号：拾黑（shiheibook）了解更多

[广告]赞助链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
让资讯触达的更精准有趣：https://www.0xu.cn/