Отчёт по безопасности: gLark.Ru

Данный документ содержит консолидированное техническое описание критических уязвимостей, векторов компрометации и артефактов системы gLark.Ru. Текущий статус системы: КРИТИЧЕСКИЙ (Полная компрометация уровня веб-сервера и системных сервисов).

Параметры окружения: CentOS 7, Apache 2.4.6 (mod_fcgid) + nginx, PHP 7.4.33 (php-fpm :9000), MariaDB, ISPmanager 5 (mgr5, :1500), Docker (Ollama, MCP-сервисы :8005/:8006). Пользователь веб-окружения: glarkru (uid 529).

Гостевая книга

Скачивание дампов и артефактов

Ниже представлены архивы данных и дампы, зафиксированные в ходе анализа безопасности платформы.

Path Traversal в файловом менеджере Critical

Описание

Фильтрация путей в методе setCurrentPath() реализована через некорректную последовательность нерекурсивных строковых замен. Это позволяет легко обойти ограничения с помощью спецсимволов и конструкции ...././//, которая превращается в ../ и предоставляет доступ к чтению произвольных директорий на сервере.

Уязвимый фрагмент

$path = str_replace('', "", $path);
$path = str_replace('//', "/", $path);
$path = str_replace('../', "", $path);
$path = str_replace('./', "", $path);
$path = str_replace('\..', "", $path);
$path = str_replace('\.', "", $path);

Открытый сокет/порт FastCGI (php-fpm) Critical

Описание

Служба php-fpm принимает соединения без авторизации. Отсутствие ограничений позволяет передавать произвольные переменные окружения (включая SCRIPT_FILENAME и PHP_ADMIN_VALUE), что приводит к выполнению произвольного PHP-кода от имени пользователя пула.

Произвольное архивирование и выгрузка (act=zip) Critical

Описание

Функция архивации создает ZIP-файл непосредственно внутри целевой папки. В сочетании с уязвимостью Path Traversal это позволяет упаковывать любые системные каталоги и скачивать их через веб-интерфейс.

Уязвимый фрагмент

$gen_name = $user->getData()->domain.'_'.date("Y-m-d_H_i_s").'.zip';
$zip = zip($FileIO->getRealPath(), $FileIO->getRealPath().'./'.$gen_name, $FileIO->getPath());

Утечка конфигурационных файлов и учётных данных Critical

Описание

Конфигурационные файлы с реквизитами подключения к БД и API-токенами хранятся в открытом виде внутри веб-директорий (webroot) и обладают правами на чтение любым пользователем системы (world-readable).

Пример конфигурации

[DataBase]
host="localhost"
login="glarkru"
pass="[REDACTED_PASSWORD]"
name="glarkru"

Path Traversal через заголовок Host Critical

Описание

Сервис поддоменов принимает значения из заголовка Host без валидации и использует их при формировании путей на диске, что приводит к выходу за пределы корневой директории сайта и распаковке загружаемых ZIP-архивов в произвольные места файловой системы.

Бэкдоры, скрытые скрипты и механизмы закрепления Critical

Описание

В системе обнаружено несколько сторонних точек входа и веб-шеллов:

• glark.ru/vesta.php — Скрытый API-скрипт с жестко закодированными учетными данными, позволяющий выполнять административные действия.
• apps/js/cache.php — Веб-шелл, принимающий команды управления.
• apps/js/reinject.sh — Скрипт воссоздания точек входа, вызываемый через планировщик задач (cron).

Жестко закодированный токен системного сервиса High

Описание

Служебный скрипт node_worker.php содержит секретный токен доступа NODE_TOKEN непосредственно в исходном коде, что позволяет выполнять запросы к внутренним сервисам (Ollama / MCP) при компрометации исходного кода.

Сводная таблица критических эндпоинтов

Следующие адреса и файлы требуют немедленного закрытия, удаления или ограничения доступа на уровне веб-сервера: