Web Kabuğu Saldırıları Nedir? Web Sunucularınızı Nasıl Korursunuz?

Bir web kabuğu saldırısı sırasında, bir siber suçlu hedef web sunucusunun dizinine kötü amaçlı bir dosya enjekte eder ve ardından bu dosyayı web tarayıcısından yürütür.

Başarılı bir web kabuğu saldırısı başlattıktan sonra, siber suçlular hassas kaynaklara erişebilir, hedef sistemi bir botnet'e dahil edebilir veya kötü amaçlı yazılım veya fidye yazılımı enjeksiyonları için yollar oluşturabilir.

Bu siber tehdide karşı savunma stratejileri uygulamadıysanız, sistemleriniz yüksek istismar riski altındadır. Microsoft'a göre, aylık web kabuğu saldırıları sadece geçen yıl iki katına çıktı.

Web Kabuğu nedir?

Web kabuğu, PHP, JSP veya ASP gibi popüler web uygulama dillerinden herhangi birinde yazılmış kötü amaçlı bir komut dosyasıdır. Uzaktan yönetimi kolaylaştırmak için bir web sunucusu işletim sistemine kurulurlar.

Silah haline getirildiğinde, bir web kabuğu tehdit aktörlerinin dosyaları değiştirmesine ve hatta hedeflenen web sunucusunun kök dizinine erişmesine izin verebilir.

Hem İnternet'e yönelik hem de İnternet'e yönelik olmayan sunucular (kaynak barındırma sunucuları gibi) web kabuğu saldırılarının kurbanı olabilir.

Web kabuğu saldırıları, yürütülmesi ek programlar gerektirmediği için uygun bir siber saldırı taktiğidir. Bir iletişim kanalı, web tarayıcılarındaki HTTP protokolü aracılığıyla kolayca elde edilebilir - bu nedenle HTTPS protokollerini tercih etmek çok önemlidir.

Web Shell Saldırıları Nasıl Çalışır?

Siber saldırganlar ilk olarak Shodan.io gibi tarama yazılımları aracılığıyla web kabuğu saldırılarına karşı savunmasız olan açıkları olan sunucuları bulur.

Shodan, gizli web sunucularına saldırı vektörü olarak hizmet edebilecek web sunucuları ve uç noktalar da dahil olmak üzere internete bağlı tüm cihazları ortaya çıkarır.

Bir güvenlik açığı keşfedildiğinde, siber saldırganlar, maruz kalma için bir yama yüklenmeden önce hemen bir web kabuğu saldırısı başlatır.

CVE-2020-5902 güvenlik açığından yararlanılması, siber suçluların web kabuğu enjeksiyonlarını kolaylaştıran maruziyetlerden ne kadar hızlı yararlandığının bir örneğidir.

30 Haziran 2020'de F5 Networks, Trafik Yönetimi Kullanıcı Arayüzü (TMUI) için bir yama yayınladı. Güvenlik açığı, kötü amaçlı kodların hedeflenen bir sisteme uzaktan enjeksiyonunu içeren bir tür siber saldırı olan Uzaktan Kod Yürütmeyi (RCE) kolaylaştırdı.

Güvenlik açığı 30 Haziran'da yayınlandıktan sonra, 4 Temmuz'da (sadece dört gün sonra), maruziyeti kötüye kullanmak için kullanılan bir istismar kodu keşfedildi.

Bir sunucu enfeksiyonunun ilk aşaması, ekosisteminin dış katmanına nüfuz etmektir. Bu genellikle bozuk web kabuklarını dosya yükleme web sayfalarından geçirerek elde edilir.

Bundan sonra, web kabuğunu seçilen bir web uygulaması sayfasına bağlamak için bir Yerel Dosya Ekleme (LFI) güvenlik açığı kullanılır.

Kullanıma Sunulan Yönetici Arabirimlerinin algılanması ve güvenliğinin aşılması, Siteler Arası Komut Dosyası Çalıştırma (XSS) ve SQL enjeksiyonları dahil olmak üzere birçok başka web kabuğu ekleme stratejisi vardır.

Web kabuğu yüklendikten sonra, doğal olarak bir arka kapı oluşturulur ve siber suçlulara herhangi bir zamanda güvenliği ihlal edilmiş web sunucusuna doğrudan uzaktan erişim sağlar.

Web kabukları ile arka kapı oluşturmanın verimliliği, web kabuğu saldırılarının öncelikle kalıcılık mekanizmaları olarak kullanılmasının nedenidir - uzun vadeli kötü amaçlı bir dahili ağ varlığının oluşturulması.

Bu nedenle, veri ihlalleri ve fidye yazılımı enjeksiyonları nadiren bir web kabuğu saldırısının hemen ardından gelir. Bilgisayar korsanları genellikle gelecekteki bir saldırı veya keşif görevi için bir erişim kanalı kuruyorlar.

Web Kabuğu Saldırısı Örneği

Manşetlere çıkan son büyük web kabuğu saldırısı, Mart 2021'de Çinli Siber Suçlu grubu Hafnium tarafından gerçekleştirildi. Saldırıya dahil olan web kabuğu, Microsoft Exchange Sunucularındaki kritik bir güvenlik açığı aracılığıyla enjekte edilen China Chopper olarak bilinen bir kötü amaçlı yazılımdı.

China Chopper web kabuğunu özellikle zehirli yapan şey, virüslü sisteme kurduğu arka kapının, sunucu güvenlik açığı yamalandıktan sonra bile kalmasıydı.

Web Kabukları Nasıl Tespit Edilir

Web kabuklarını tespit etmek zordur çünkü görünüşte zararsız dosyalar içinde gizlenebilirler.

Örneğin, bir web kabuğu komut dosyası bir fotoğrafın içine gömülebilir ve hedef web sunucusuna yüklenebilir. Bu yükleme analiz edildiğinde, olağandışı bir şey tespit edilmez - sonuçta bu sadece bir fotoğraftır.

Ancak web sunucuları, sunucu tarafı yürütme için medya dosyalarına başvurduğundan, fotoğraf, daha sonra kötü amaçlı kodlamasını etkinleştiren bir web tarayıcısından istenebilir.

Bu zorluğun üstesinden gelmek için, tüm komut dosyası yazma işlemlerini ve işlem yürütmelerini analiz etmek için internete açık sunucuların ve internetin arayüzünde güvenlik kontrolleri uygulanmalıdır.

Bu koruma katmanı, Microsoft tarafından Uç Noktalar için Defender aracılığıyla elde edilebilir.

Etkileyici doğruluğa sahip başka bir yöntem, bozulduğundan şüphelenilen dosyaları bilinen web kabuğu sözdizimine sahip bir veritabanıyla karşılaştırmaktır. Bu, Kabuk Dedektörü ile sağlanabilir.

Web Kabuğu Enjeksiyonları Nasıl Engellenir

Web kabuğu enjeksiyonunu kolaylaştıran güvenlik açıklarını ele almak, web kabuğu saldırılarını engellemekten çok daha kolaydır.

Aşağıdaki önerilen denetimler ve güvenlik araçları, BT ekosisteminizdeki tüm olası web kabuğu ekleme noktalarını bulmak ve düzeltmek için kullanılmalıdır.

1. En Son Güvenlik Yamaları ile Güncel Kalın

Güvenlik açıkları, web kabuğu saldırıları için en yaygın yollardır. Bu giriş noktalarını engellemek için tüm web uygulamalarını, İçerik Yönetim Sistemlerini, web sunucusu yazılımlarını ve üçüncü taraf yazılımlarını en son güvenlik yamalarıyla güncel tuttuğunuzdan emin olun.

Yazılım çözümlerinizi etkileyebilecek en son risklerden haberdar olmak için düzenli olarak Yaygın Güvenlik Açıkları ve Etkilenmeler dizinine başvurun.

2. Gereksiz Web Sunucusu İşlevlerini Devre Dışı Bırakın

Bir web kabuğu enjekte edilirse, web sunucusu komut dosyalarıyla iletişim kuran işlevler php.ini devre dışı bırakılırsa yürütülmesi engellenebilir.

Bu tür web sunucusu işlevleri şunları içerir:

• yürütücü()
• eval()
• Kabuk _exec()
• assert()

3. Hassas dizinlerin adlarını değiştirin

Bozuk görüntü dosyalarının yüklenmesini önlemek için, bu tür yüklemeleri kolaylaştıran dizinler ideal olarak tamamen devre dışı bırakılmalıdır.

Böyle bir yükleme mekanizması gerekliyse, bu hassas dizinlerin varsayılan adları, keşfedilmelerini zorlaştıracak şekilde değiştirilmelidir. İç tehdit saldırılarını azaltmak için yalnızca ayrıcalıklı kullanıcıların bu değişikliklere erişim izni olmalıdır.

Buna ek olarak, web sunucunuza yüklenebilecek izin verilen dosya türleri için bir filtre belirtin.

4. Tüm gereksiz WordPress eklentilerini devre dışı bırakın

WordPress eklentileri yaygın saldırı vektörleridir, çünkü siber suçlular da dahil olmak üzere herkesin bunları geliştirmesine izin verilir.

Bu vektörlerin güvenliğini sağlamak için yalnızca güvenilir geliştiricilerin eklentilerini yüklediğinizden ve gereksiz tüm eklentileri kaldırdığınızdan emin olun.

5. Bir Güvenlik Duvarı Uygulayın

Bir Web Uygulaması Güvenlik Duvarı (WAF), tüm ağ trafiğini filtreleyerek web kabuklarının ve kötü amaçlı yüklerin bir ekosisteme enjekte edilmesini önlemek için tasarlanmıştır.

Virüsten koruma yazılımı gibi, güvenlik duvarınızı da en son siber güvenlik yamalarıyla güncel tutmanız önemlidir.

6. Dosya Bütünlüğü İzlemeyi Uygulayın

Bir dosya bütünlüğü izleme çözümü, dizin güncellemelerini temiz dizin komut dosyalarının zaman damgalarıyla karşılaştırır. Bir tutarsızlık tespit edilirse, hedeflenen web sunucusunun kod dizininde istenen kurulum engellenir veya bir güvenlik uyarısı etkinleştirilir.

7. Saldırı Yüzeyinizi İzleyin

Bir saldırı yüzeyi izleme çözümü, hem dahili olarak hem de satıcı ağı genelinde tüm saldırı yüzeyinin güvenlik açığı taramalarını tamamlar. Bu, güvenlik ekiplerinin siber saldırganlar tarafından keşfedilmeden ve istismar edilmeden önce maruziyeti düzeltmesine olanak tanır.