며칠 전 뉴스가 나왔을 때, 나는 가장 새로운 취약점에 대해 많은 공식적인 언급을 듣지 못했습니다. Sucuri는 신용 카드 정보 또는 $_POST관리자 암호 등을 포함한 모든 데이터 를 수신 할 수 있다고 말합니다 .
아직 클라이언트가 해킹당한 경우는 없었지만, 조치가 취해질 때까지 기다리기를 원하지 않습니다. 아직 패치를 본 사람이 있습니까?
답변:
어떤 종류의 패치 또는 공식 진술을 기대하십니까? 블로그 게시물은 공격자가 코드에 액세스하면 웹 응용 프로그램이 손상 될 수 있다고 말합니다. 이는 각각의 모든 웹 응용 프로그램에 적용됩니다. 여기서 마젠 토라 는 용어 는 완전히 호환됩니다. 현재 영향을받는 호스트가 어떻게 손상되었는지에 대한 실마리가 없습니다. 주어진 예에서 열린 문은 서버 문제에서 "계층 8"에 이르기까지 모든 것이 될 수 있습니다.
그들이 모호한 상태를 유지하고 귀중한 정보를 얻지 않는 한, 회사 이름을 전파하고, 파도를 만들고, 보안 전문가로서 자신을 포지셔닝하는 등 거의 모든 마케팅입니다. "훔치기" "신용 카드"와 같은 유행어 결합 "마 젠토"는 좋은 이야기를 분명히합니다.
이 게시물에서 여전히 배울 수있는 것 :
Magento 버전이 최신 버전 인 경우, 모든 최신 패치를 설치했으며 서버가 설정 (파일 사용 권한, 다른 소프트웨어 / 웹 사이트 실행, 방화벽 등이 아닌 파일 사용 권한)과 관련된 모범 사례를 충족합니다. .
아직 구체적인 공격 경로가 없다고 언급하는 것이 중요하다고 생각합니다.
공격은 어떻게 작동합니까? 우리는 여전히 공격 경로를 조사하고 있습니다. 공격자가 Magento 코어 또는 널리 사용되는 모듈 / 확장 프로그램의 취약점을 악용하고있는 것 같습니다.
편집하다:
위의 의견에서 언급했듯이 배경 정보를 제공하는 다른 관련 질문에 대한 Ben Lessani의 자세한 답변을 확인할 수도 있습니다. /magento//a/72697/231
Magento뿐만 아니라 악의적 인 코드를 코드베이스에 삽입하여 다른 많은 웹 사이트가 이런 식으로 해킹당하는 것을 보았습니다. 그리고 POST 데이터를 훔치는 스크립트, XSS를 추가하는 스크립트, 루트 암호를 훔치는 스크립트, 들어오는 호출이 데이터를 처리 할 수있는 스크립트 (비트 코인 마이닝의 경우 해당 서버에서 스팸 전자 메일 보내기) 등 많은 변형이 있습니다.
경우에 따라 클라이언트 컴퓨터에서 FTP 자격 증명 (바이러스 / 악성 프로그램으로 인해)이 도용 된 경우도있었습니다.
익스플로잇 (예 : WordPress)을 통해 서버에 액세스 할 수있는 다른 많은 응용 프로그램이 있습니다.
Magento가 책임을 져야 할 경우는 한 가지 뿐이며 Magento의 조치가 예상됩니다. 즉, 악용 된 응용 프로그램이 최신 버전의 Magento이고 완전히 패치 된 경우입니다.
따라서이 중점을 둔 사례가 처음에는 마젠 토의 결함으로 인해 발생했을 가능성이 약간 있습니다. 그래서 마 젠토에게서 아무 소리도 들리지 않습니다.
여기서 새로운 것은 삽입 된 코드가 Magento를 매우 구체적으로 대상으로하고 Magento의 코드 아키텍처와 원칙을 사용한다는 것입니다.
이제 "무엇에 대처해야합니까?"라는 질문에 대한 답변을 드리겠습니다.
같은 서버 인스턴스에서
WordPress + Magento와 같은 두 개의 다른 응용 프로그램을 실행하지 마십시오 . 때때로 www.magentoshop.com/blog/에서와 같이 WordPress가 실행되거나 www.wordpresswebsite.com/shop/에서 Magento가 실행되는 것을 볼 수 있습니다. 그렇게하지 마십시오. WordPress에서 악용하면 공격자가 Magento 데이터에 액세스 할 수 있습니다.
GIT를 사용하고있는 버전 관리 시스템을 사용하고 서버에서도이를 읽고 (읽기 전용 액세스) 웹 사이트를 배포합니다. 또한을 실행하여 시스템 변경에 대한 빠른 통찰력을 제공합니다 git status.
FTP를 SFTP 만 사용하지 말고
위에서 언급 한 암호는 절대 저장하지 마십시오. 위에서 언급 한 FTP 암호는 클라이언트 컴퓨터에서 도용되었습니다. 또한 FTP를 사용하면 인터넷을 통해 암호화되지 않은 데이터를 보내므로 안전하지 않습니다. 따라서 SFTP를 사용하고 FTP 애플리케이션에 비밀번호를 저장하지 마십시오. 서버에 연결할 때마다 게으르지 말고 입력하십시오.