Varreduras direcionadas a scripts de e-mail apareceram recentemente em honeypots da SANS, segundo Johannes B. Ullrich, diretor de pesquisa da SANS.edu. As solicitações incluem caminhos como /sendmail.php, /test-mail.php, /email-test.php e /mailtest.php. Ullrich disse que a atividade pode ter origem em spammers em busca de formulários da web que lhes permitam escolher o destinatário de uma mensagem, embora não seja possível vincular as varreduras a uma vulnerabilidade específica.
A atividade evoca falhas antigas em aplicações web, como a CVE-2000-0411, que afetava um script CGI usado para enviar e-mails. Nesse caso, acrescentar parâmetros a uma URL podia expor variáveis de ambiente. Outras vulnerabilidades permitiam que os usuários definissem o endereço do destinatário, enquanto passar parâmetros diretamente ao binário sendmail podia, em alguns casos, possibilitar a execução de código arbitrário.
Ullrich observou que vários nomes de arquivos procurados contêm a palavra “test”, o que sugere que os invasores podem estar procurando scripts deixados para trás durante o desenvolvimento. Ele também descreveu um exemplo de script para testar o envio de e-mails, encontrado por meio de uma pesquisa no Google. O script aceitava um endereço de destinatário por meio de um parâmetro de URL e incluía detalhes da configuração do servidor na mensagem, o que o tornava inadequado para uso em um site ativo.
A preocupação mais ampla, disse Ullrich, é a higiene do código: artefatos de desenvolvimento não devem ser deixados em sites de produção. Ele recomendou verificar se há esses arquivos nos sistemas pelos quais se é responsável, ressaltando que o ideal é detectar esses problemas durante a implantação da aplicação.
Fontes: SANS Internet Storm Center.