Kod strony leżał publicznie, wystarczyło znać nazwę pliku
Serwisy firmowe po pracach innych wykonawców
Nie każde zagrożenie to włamanie. Czasem wystarczy, że wykonawca zostawił kopie plików w miejscu dostępnym z internetu.
Punkt wyjścia
Przy pracach na stronie wykonawcy zostawiają kopie plików z rozszerzeniem sugerującym kopię zapasową. Taki plik przestaje być wykonywany przez serwer, więc jest zwracany jako czysty tekst. Efekt: kod strony, a czasem dane dostępowe, można pobrać znając samą nazwę pliku, bez żadnych uprawnień.
Nie każde zagrożenie zaczyna się od włamania. Czasem wystarczy plik zostawiony w złym miejscu.
Co zrobiliśmy
- Sprawdzamy, co serwer udostępnia poza samą stroną, bo to nie jest widoczne dla właściciela.
- Przenosimy kopie plików poza katalog dostępny z internetu, zamiast je kasować bez śladu.
- Potwierdzamy usunięcie realnym zapytaniem, a nie samym faktem przeniesienia pliku.
- Wpisujemy tę kontrolę na stałą listę czynności przy przejęciu każdego serwisu.
Dlaczego akurat tak
Przy pracach na stronie wykonawcy zostawiają kopie plików z rozszerzeniem sugerującym kopię zapasową. Taki plik przestaje być wykonywany przez serwer i jest oddawany jako czysty tekst, więc kod strony da się pobrać, znając samą nazwę. Dlatego sprawdzamy, co serwer udostępnia poza stroną, a znalezione kopie przenosimy poza katalog publiczny i potwierdzamy usunięcie realnym zapytaniem, a nie samym faktem przeniesienia.
Efekt
W jednym z serwisów znaleźliśmy 22 takie pliki, w tym kopię pliku z kodem motywu i kopię instalatora. W innych serwisach usunęliśmy w podobnym trybie łącznie około siedemdziesięciu plików. Wszystkie potwierdzone jako niedostępne po zmianie.
Dowody
Kopie plików wystawione publicznie
Skąd te liczby
Co to znaczy dla Twojej firmy
Jeżeli Twoją stronę robił ktoś inny, nie masz jak sprawdzić, co po sobie zostawił. Ta kontrola nie wymaga żadnego incydentu i trwa kilkanaście minut, a chroni przed sytuacją, w której konfiguracja i kod Twojego serwisu są publicznie dostępne dla każdego, kto zgadnie nazwę pliku.
To jest dla Ciebie, jeśli
- Twoją stronę robił ktoś inny i nie wiesz, co zostawił
- Przejmujesz serwis po poprzednim wykonawcy
- Chcesz wiedzieć, co Twój serwer udostępnia publicznie
- Zależy Ci na kontroli bezpieczeństwa bez czekania na incydent
Sprawdzimy, czy u Ciebie da się osiągnąć podobny efekt
Bezpłatna rozmowa i konkretna odpowiedź: co da się poprawić, w jakim czasie i ile to kosztuje.
