php.admin.tool.fm: un file manager via browser sul tuo sito

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

• php.admin.tool.fm
• SMW-BLKH-19381098-php.admin.tool.fm
• php.bkdr.fm
• php.bkdr.admin.tool.fm
• php.bkdr.fmgr
• filemanager.php

• Fuori dalle cartelle di WordPress nel 58% dei casi, dentro wp-content/plugins nel 23%, nel tema nel resto
• Con nomi come fm.php, filemanager.php, files.php, manager.php: nel corpus il 99% dei nomi è una parola
• Sia con firma numerica SMW-BLKH sia con firma CLOUDAV: il fornitore ha regole dedicate ai file manager noti e regole generiche per quelli sconosciuti

• Dà a chi lo apre l'equivalente di un accesso FTP completo, senza credenziali FTP: legge wp-config.php, modifica i plugin, carica altri strumenti.
• Nella forma di strumento legittimo, viene caricato da tecnici per lavorare senza FTP e poi dimenticato.
• Nella forma di backdoor, è la console preferita degli attaccanti meno sofisticati: tutto in un file, interfaccia grafica, nessuna competenza richiesta.

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

1. Cerca i file manager per nome sull'intero account

   find ~ -type f \( -iname 'fm.php' -o -iname 'filemanager*.php' -o -iname 'tinyfilemanager*' -o -iname 'files.php' -o -iname 'manager.php' -o -iname 'explorer.php' \) 2>/dev/null -ls

2. Cerca file PHP che elencano directory e gestiscono upload nello stesso file

   grep -rlI --include='*.php' -E 'scandir|opendir' . 2>/dev/null | xargs grep -lE 'move_uploaded_file|unlink\s*\(' 2>/dev/null | grep -vE 'wp-(admin|includes)/|plugins/(woocommerce|updraftplus|all-in-one-wp-migration|wp-file-manager)/' | head

3. Se usi un plugin di file manager, verifica che sia aggiornato e disattivalo quando non serve

   wp plugin list --fields=name,status,version,update | grep -i 'file'

• Proteggere il file manager con una password: resta una console di accesso completo raggiungibile dall'esterno.
• Disattivare il plugin di file manager senza rimuoverlo: le versioni vulnerabili di questi plugin sono state sfruttate anche da disattivate.
• Cancellare il file e non guardare i log: un file manager usato lascia nei log di accesso l'elenco esatto di cosa è stato toccato.

• Rimuovi il file manager e chiedi all'hosting i log di accesso al suo percorso: ricostruiscono ogni file aperto, modificato o caricato.
• Verifica le somme di controllo di core e plugin: con un file manager in mano, l'attaccante modifica i file veri, non solo ne aggiunge.
• Ruota le credenziali leggibili dal sito: database, SMTP, chiavi API dei plugin.
• Se il file manager era un plugin legittimo, aggiornalo o rimuovilo, e controlla se la versione installata aveva vulnerabilità note.