PrestaShop 1.6.x – rejestracje klientów SPAM – zakładanie fałszywych kont klientów

PrestaShop 1.6.x – fikcyjne konta klientów – przyczyna ataku.

Problem jest stosunkowo nowy i pojawił się dosłownie w przeciągu paru ostatnich dni od publikacji tego artykułu. Objawia się zakładaniem przez nieznanego sprawcę fikcyjnych kont klientów, gdzie w sekcji „nazwisko” podany jest złośliwy link do spamerskiej strony:

Zazwyczaj bazujący na usługach do skracania linków:

www.cutt.us
www.twixar.com
www.lmy.de
www.xurl.es
www.v.ht

Atakujący wykorzystał tutaj słabość PrestaShop, jeśli chodzi o tzw. walidację (sprawdzanie poprawności) nazwiska klienta. W ten sposób – w miejscu nazwiska wklejony jest link, zapewne w celu późniejszego przekierowania. Konta takie są zakładane co około 1h i nadają się jedynie do usunięcia.

Poniżej prezentujemy „łatę” do oprogramowania, która zabezpiecza przed tym atakiem.

Oczywiście należy rozważyć dodatkowo instalację tzw. mechanizmu captcha, który by uniemożliwiał automatyczne tworzenie kont. Np. wymagałby przepisania kodu z obrazka itp. Tak czy inaczej, zaprezentowana tutaj metoda rozwiązania tego konkretnego ataku powinna pomóc.

Fałszywe konta klientów w PrestaShop – rozwiązanie problemu i instalacja łaty.

Otwórz plik:

classes/Validate.php

Znajdź funkcję isName() może mieć postać typu:

public static function isName($name)
{
    return preg_match(Tools::cleanNonUnicodeSupport('/^[^0-9!<>,;?=+()@#"°{}_$%:]*$/u'), stripslashes($name));
}

Umieść pod nią nową funkcję:

public static function isCustomerName($name)
{
    if (preg_match(Tools::cleanNonUnicodeSupport('/www|http/ui'),$name))
        return false;
        
        return preg_match(Tools::cleanNonUnicodeSupport('/^[^0-9!\[\]<>,;?=+()@#"°{}_$%:\/\\\*\^]*$/u'), $name);
}

Następnie otwórz plik:

classes/Customer.php

Znajdź początek wystąpienia tablicy definition:

public static $definition = array(

(okolice 157 linii)

Następnie zamień te 2 linijki:

'lastname' =>                    array('type' => self::TYPE_STRING, 'validate' => 'isName', 'required' => true, 'size' => 32),
'firstname' =>                    array('type' => self::TYPE_STRING, 'validate' => 'isName', 'required' => true, 'size' => 32),

Na:

'lastname' =>                    array('type' => self::TYPE_STRING, 'validate' => 'isCustomerName', 'required' => true, 'size' => 32),
'firstname' =>                    array('type' => self::TYPE_STRING, 'validate' => 'isCustomerName', 'required' => true, 'size' => 32),

Czyli zmieniamy funkcję walidującą z isName na nowo stworzoną: isCustomerName

Po zabezpieczeniu sklepu możemy śmiało usunąć konta klientów założone przez atakującego.

Przy usuwaniu najlepiej jest skorzystać z opcji:

 Chcę żeby moi klienci mogli zarejestrować się ponownie za pomocą tego tego samego adresu e-mail. Wszystkie dane zostaną usunięte z bazy danych.

Wtedy – dane są kompletnie kasowane z bazy danych. I nie możliwe jest ewentualne przywrócenie hasła na takim fake’owym koncie:

Problem nie powinien powrócić przynajmniej jeśli chodzi o ten konkretny atak.

Uwaga! Po „bożemu” należałoby umieścić ten kod w plikach overrides. Niestety (jeszcze) nie mamy sprawdzonego i przetestowanego rozwiązania, które działa w ten sposób. W związku z tym, że edycja dotyczy tutaj plików jądra PrestaShop – po aktualizacji systemu – te zmiany mogą zniknąć. Należy wtedy upewnić się, czy można założyć konto klienta z linkiem w nazwisku lub imieniu. Zapewne twórcy PrestaShop pracują już nad łatą i pojawi się ono wraz z najbliższą aktualizacją. Jeśli nie – ww. modyfikacje należy przenieść w nowszej wersji, aby problem nie powrócił.

Alternatywnym rozwiązaniem tego problemu może być instalacja (darmowego) modułu Captcha bazującym na algorytmie Google’a:

Darmowy sposób na roboty rozsyłające SPAM przez formularz kontaktowy – moduł reCaptcha (Google) dla PrestaShop

grafika: all-free-download.com