Как взломать сайт на Drupal

Всем привет! Давно не писал в блог, но на то были причины. Теперь хочу возобновить постоянные публикация и новая запись будет про то, как осуществить взлом сайта, работающего на Друпале.

CMS Drupal по своей архитектуре очень защищенная система, исправления безопасности ядра и модулей выходят оперативно, и взломать ее через дыры не так просто. Не зря на форуме АНТИЧАТ тема с уязвимостями Друпала самая маленькая.

Но мы сегодня будет говорить об уязвимости другого рода, а именно о глупостях, недосмотрах и безалаберности человека (веб-разработчика), который включает для анонимов (!) доступ к формату ввода “PHP Code”. А он позволяет выполнить любой php код, не имея доступа к админке сайта. Во всех инструкциях, советах по Друпалу пишут, что со встроенным модулем “PHP Code” надо быть осторожным, не предоставлять доступ к нему незнакомым людям, а тем более неавторизированным посетителям. Но, как мы увидим дальше, этим требованиям часто пренебрегают…

Для поиска уязвимых сайтов, работающих на Drupal, нам поможет всесильный Google. Его поисковые операторы позволяют находить сайты по многим, очень интересным параметрам. Мы будем искать открытые для индексации страницы редактирования (!) материалов, где одним (или единственным) фильтров ввода является “PHP code” (!!). Напомню, что страницы редактирования нод в друпале имеют вид вида site.com/node/id/edit, где id - это числовой идентификатор ноды.

Алгоритм поиска:

1. Урл страницы должен содержать node и edit.
2. На странице в тексте должна упоминаться фраза  “Вы можете размещать PHP-код” (для русского языка) или “You may post PHP code” (для английского языка).

Поможет нам в этот оператор “inurl”, который позволяет находить сайты, содержащие в урле определенные слова, в нашем случае это “node” и “edit”.

Поиск по этим критериям выполняет строка:

inurl:node inurl:edit "Вы можете размещать PHP-код"

На скриншоте выше показан пример с уязвимыми сайтами, работающими на Drupal с русским языком по-умолчанию. Как видно, многие из них уже использовались спамерами.

Следующая строка позволит найти уязвимые сайты, работающие на английской версии друпала:

inurl:node inurl:edit "You may post PHP code"

Тут выбор, конечно, побольше. По аналогии это можно сделать и для остальных 180 языков, на которых работает Drupal.

Что с этим делать?

Залить шел, проспамить сайт, просканировать сервер. А лучше написать администрации сайта о проблемах с безопастностью :)

Как от этого защититься?

Выключить модуль “PHP Code”. Если это никак нельзя сделать, то ограничить права к нему минимальном количеству людей, желательно только главному администратору.

Не совершайте такие глупости, своевремнно обновляйте ядро и модули и ваш сайт будет в безопасности!