Гостев из будущего

PHP2Shell глазами атакующего Для атакующих сегодня лучший день квартала. А то и года. 14:00 UTC. PHP опубликует патч. Атакующий получает бесплатную документацию: достаточно сравнить исправленный код со старым и понять, где именно дыра. Sansec считает, что от публикации патча до начала массовых атак пройдёт не несколько часов, а около 15 минут. Первые часы — массовое сканирование. Искать есть где: PHP работает на огромной части веба, а предполагаемый уязвимый механизм, session.upload_progress, включён по умолчанию. Если уже утёкшая информация подтвердится, атаковать можно будет сам PHP, независимо от того, что сверху — WordPress, Magento, Drupal или что-нибудь самописное. Первая ночь — закрепление. На взломанные серверы приезжают веб-шеллы: сначала занять позицию, разбираться с ценностью цели можно потом. Причём тот, кто пришёл первым, вполне может закрыть дыру за собой. Такое уже бывало: атакующие сами патчили взломанную систему, чтобы не пустить конкурентов. Первые дни — сортировка и монетизация. Интернет-магазины можно превратить в источник платёжных данных, WordPress — в SEO-спам, редиректы и инфраструктуру для других атак, дешёвые серверы — в ботнеты и майнеры. Доступы к более интересным корпоративным системам можно просто продать брокерам, а дальше он окажется у рансомварщиков. Пока это один из главных кандидатов на уязвимость года. Окончательный масштаб станет понятен после advisory. @gostev_future