Sprawdzamy działające instalacje CS-Carta i Multi-Vendora pod kątem włamania, furtek zostawionych przez napastnika i plików, które serwer oddaje każdemu, kto zna ich adres. Audyt prowadzimy na żywym sklepie, bez wyłączania sprzedaży i bez zmieniania czegokolwiek na serwerze, a w efekcie dostajesz raport z listą znalezisk i gotowymi krokami naprawczymi.
Najczęściej zgłaszają się do nas sklepy, w których coś już się wydarzyło. Audyt ma jednak sens także wtedy, gdy nic niepokojącego jeszcze nie widać, bo dobrze ukryta furtka nie daje żadnych objawów aż do dnia, w którym ktoś z niej skorzysta. Sygnałem do sprawdzenia sklepu jest sytuacja, w której:
Zakres jest ten sam dla sklepu CS-Cart i dla marketplace na Multi-Vendorze, bo obie edycje stoją na tym samym silniku, a porównanie z czystym źródłem robimy zawsze dla dokładnie tej edycji i wersji, na której działa sklep.
Szukamy obcego kodu PHP w katalogach, które powinny zawierać wyłącznie dane, takich jak katalog obrazków czy załączników, oraz znanych sygnatur w całym drzewie sklepu. Bierzemy pod uwagę to, że napastnik zwykle cofa daty modyfikacji plików, więc nie polegamy na samym wyszukiwaniu świeżych zmian.
Sprawdzamy zadania cron konta, klucze SSH i pliki startowe powłoki. Tam zostaje furtka, która przeżywa skasowanie każdego obcego pliku ze sklepu i po kilku dniach odtwarza infekcję.
Weryfikujemy z zewnątrz, czy serwer nie oddaje katalogu var z kopiami zapasowymi i eksportami klientów, repozytorium .git, plików konfiguracyjnych, zrzutów bazy oraz zapomnianych narzędzi administracyjnych wgranych kiedyś do jednorazowej pracy. Każde znalezisko potwierdzamy kodem odpowiedzi serwera, a nie samą obecnością pliku na dysku.
Instalacje testowe i stare kopie sklepu na tym samym koncie mają własny katalog var, własną konfigurację i często tę samą bazę. Każdą z nich sprawdzamy jako osobny cel, bo naprawa w głównym sklepie ich nie obejmuje.
Porównujemy pliki sklepu z czystym źródłem CS-Carta albo Multi-Vendora w tej samej wersji, łącznie ze skryptami JavaScript i szablonami panelu. Każda różnica dostaje wyjaśnienie: poprawka producenta, dodatek albo obca zmiana.
Przeglądamy konta administratorów z datami utworzenia, aktywne klucze API i format haseł. Z dziennika zdarzeń CS-Carta odczytujemy nieudane i udane logowania do panelu wraz z adresami IP, co sięga zwykle dalej niż logi serwera trzymane przez hosting.
Szukamy tego, do czego włamanie mogło posłużyć: skryptu przechwytującego dane w szablonach kasy, kodu JavaScript wstrzykniętego w bloki, opisy i zmienne językowe, przekierowań widocznych tylko dla wyszukiwarek oraz wysyłki spamu z konta.
Oceniamy prawa zapisu do plików i katalogów, ustawienia PHP, ciasteczka sesji, nagłówki bezpieczeństwa HTTP oraz ustawienia sklepu, które zostały na wartościach domyślnych, na przykład hasło wywołania zadań cron.
Do audytu potrzebujemy dostępu SSH do konta hostingowego, na którym stoi sklep. Pracujemy wyłącznie w trybie odczytu: niczego nie kasujemy ani nie poprawiamy w trakcie, a kod znaleziony na serwerze analizujemy na pobranej kopii, nigdy go nie uruchamiając. Dzięki temu audyt nie zaciera śladów, które mogą być potrzebne do ustalenia, jak doszło do włamania.
Raport opisuje każde znalezisko razem z dowodem, ocenę jego wagi oraz gotowe polecenia naprawcze do świadomego wykonania. Wymienia też miejsca, które sprawdziliśmy, i te, do których hosting nie dał dostępu. Nie piszemy, że sklep jest czysty, jeżeli nie da się tego wykazać, bo brak śladów w logach przechowywanych przez miesiąc nie jest dowodem, że nic się nie stało.
Usunięcie infekcji, zmianę haseł i kluczy oraz zamknięcie wycieków wykonujemy jako osobne zlecenie, po Twojej akceptacji raportu. Możesz też przekazać raport własnemu administratorowi.
Pierwszy audyt zapisuje stan sklepu jako punkt odniesienia. Kolejny porównuje instalację z tym stanem, więc zamiast przeglądać wszystko od nowa widzimy wyłącznie to, co zmieniło się od poprzedniego przeglądu, i łatwiej wychwytujemy obcy plik wśród zmian po aktualizacji. Przegląd okresowy można połączyć z pakietem opieki technicznej.
Każdy audyt wyceniamy indywidualnie. Na koszt wpływa liczba instalacji na koncie, łącznie z kopiami testowymi, rodzaj dostępu, jaki daje hosting, oraz to, czy sprawdzamy sklep profilaktycznie, czy po sygnale włamania, kiedy dochodzi analiza znalezionego kodu. Wycenę podajemy przed rozpoczęciem pracy.
Napisz, na jakiej wersji CS-Carta albo Multi-Vendora działa sklep, gdzie jest hostowany i co skłoniło Cię do audytu. Odpowiemy wyceną i terminem.