Πώς να ανιχνεύσουμε και να αποτρέψουμε το Directory Traversal Hacks - τα ανδρείκελα

Η μετάβαση από τον κατάλογο είναι μια πραγματικά βασική αδυναμία, αλλά μπορεί να εμφανίσει ενδιαφέρουσες - μερικές φορές ευαίσθητες - πληροφορίες για ένα σύστημα ιστού, καθιστώντας τον επιρρεπείς σε hacks. Αυτή η επίθεση περιλαμβάνει την περιήγηση σε έναν ιστότοπο και την αναζήτηση ενδείξεων σχετικά με τη δομή του καταλόγου του διακομιστή και τα ευαίσθητα αρχεία που ενδέχεται να έχουν φορτωθεί σκόπιμα ή ακούσια.

Εκτελέστε τις παρακάτω δοκιμές για να καθορίσετε πληροφορίες σχετικά με τη δομή καταλόγου του ιστοτόπου σας.

Ανιχνευτές

Ένα πρόγραμμα αράχνη, όπως ο δωρεάν ιστότοπος HTTrack Copier, μπορεί να ανιχνεύσει τον ιστότοπό σας για να αναζητήσει κάθε αρχείο που είναι προσβάσιμο από το κοινό. Για να χρησιμοποιήσετε το HTTrack, απλώς το φορτώσετε, δώστε στο έργο σας ένα όνομα, πείτε στο HTTrack ποιοι ιστότοποι θα αντικατοπτρίζουν και μετά από λίγα λεπτά, ενδεχομένως ώρες, θα έχετε όλα όσα είναι δημόσια προσβάσιμα στον ιστότοπο που είναι αποθηκευμένα στην τοπική σας μονάδα δίσκου c: Οι ιστοσελίδες μου.

Οι πολύπλοκες τοποθεσίες συχνά αποκαλύπτουν περισσότερες πληροφορίες που δεν πρέπει να υπάρχουν εκεί, συμπεριλαμβανομένων παλαιών αρχείων δεδομένων και ακόμη και σεναρίων εφαρμογών και πηγαίου κώδικα.

Αναπόφευκτα, κατά την εκτέλεση αξιολογήσεων ασφάλειας ιστού, συνήθως υπάρχουν. φερμουάρ ή. rar αρχεία σε διακομιστές web. Μερικές φορές περιέχουν σκουπίδια, αλλά πολλές φορές κατέχουν ευαίσθητες πληροφορίες που δεν πρέπει να υπάρχουν εκεί για πρόσβαση στο κοινό.

Δείτε την έξοδο του προγράμματος ανίχνευσης για να δείτε ποια αρχεία είναι διαθέσιμα. Τα κανονικά αρχεία HTML και PDF είναι πιθανώς εντάξει επειδή είναι πιθανότατα απαραίτητα για την κανονική χρήση του ιστού. Αλλά δεν θα έβλαπτε να ανοίξετε κάθε αρχείο για να βεβαιωθείτε ότι ανήκει εκεί και δεν περιέχει ευαίσθητες πληροφορίες που δεν θέλετε να μοιραστείτε με τον κόσμο.

Google

Η Google μπορεί επίσης να χρησιμοποιηθεί για μετακίνηση καταλόγου. Στην πραγματικότητα, τα προηγμένα ερωτήματα της Google είναι τόσο ισχυρά ώστε να μπορείτε να τα χρησιμοποιήσετε για να εξαλείψετε τις ευαίσθητες πληροφορίες, τα κρίσιμα αρχεία και τους καταλόγους του διακομιστή ιστού, τους αριθμούς πιστωτικών καρτών, τις κάμερες - βασικά οτιδήποτε έχει εντοπίσει η Google στον ιστότοπό σας - Κοσκινίστε όλα με τα χέρια. Έχει ήδη καθίσει εκεί στην μνήμη cache της Google που περιμένει να προβληθεί.

Ακολουθούν μερικά προηγμένα ερωτήματα Google που μπορείτε να εισαγάγετε απευθείας στο πεδίο αναζήτησης Google:

• τοποθεσία: λέξεις-κλειδιά κεντρικού υπολογιστή - Αυτό το ερώτημα αναζητά οποιαδήποτε λίστα λέξεων-κλειδιών, όπως SSN <, εμπιστευτική , πιστωτική κάρτα, και ούτω καθεξής. Ένα παράδειγμα θα ήταν: site: www. αρχή. com ομιλητής

  filetype: site extension: hostname
  

• - Αυτό το ερώτημα αναζητά συγκεκριμένους τύπους αρχείων σε έναν συγκεκριμένο ιστότοπο, όπως doc, pdf, db, dbf, zip και πολλά άλλα.Αυτοί οι τύποι αρχείων ενδέχεται να περιέχουν ευαίσθητες πληροφορίες. Ένα παράδειγμα θα είναι: filetype: site pdf: www. αρχή. com

Άλλοι προηγμένοι χειριστές της Google περιλαμβάνουν τα εξής:

allintitle

• αναζητά λέξεις-κλειδιά στον τίτλο μιας ιστοσελίδας. inurl

• αναζητά λέξεις-κλειδιά στη διεύθυνση URL μιας ιστοσελίδας. Σχετικά

• βρίσκει σελίδες παρόμοιες με αυτή την ιστοσελίδα. σύνδεσμος

• εμφανίζει άλλους ιστότοπους που συνδέονται με αυτήν την ιστοσελίδα. Μια εξαιρετική πηγή για την hacking της Google είναι η βάση δεδομένων Google Hacking του Johnny Long.

Κατά την αναζήτηση στο site σας με την Google, φροντίστε να αναζητήσετε ευαίσθητες πληροφορίες σχετικά με τους διακομιστές, το δίκτυο και την οργάνωσή σας στις Ομάδες Google, που είναι το αρχείο Usenet. Εάν βρείτε κάτι που δεν χρειάζεται να υπάρχει, μπορείτε να συνεργαστείτε με την Google για να την επεξεργαστείτε ή να την καταργήσετε. Για περισσότερες πληροφορίες, ανατρέξτε στη σελίδα Επικοινωνία με την Google.

Αντιμετώπιση παραβάσεων καταλόγων

Μπορείτε να χρησιμοποιήσετε τρία βασικά αντίμετρα για την αποτροπή της κατάργησης αρχείων μέσω κακόβουλων μετακινήσεων καταλόγων:

Μην αποθηκεύετε παλιά, ευαίσθητα ή με άλλο τρόπο μη δημόσια αρχεία στο διακομιστή ιστού σας.

• Τα μοναδικά αρχεία που θα πρέπει να βρίσκονται στο φάκελο / htdocs ή στο φάκελο DocumentRoot είναι αυτά που απαιτούνται για την σωστή λειτουργία του ιστότοπου. Αυτά τα αρχεία δεν πρέπει να περιέχουν εμπιστευτικές πληροφορίες που δεν θέλετε να βλέπει ο κόσμος. Διαμορφώστε τα ρομπότ σας

• . txt για να εμποδίσει τις μηχανές αναζήτησης, όπως το Google, να ανιχνεύσουν τις πιο ευαίσθητες περιοχές του ιστότοπού σας. Βεβαιωθείτε ότι ο διακομιστής ιστού έχει διαμορφωθεί σωστά ώστε να επιτρέπεται η πρόσβαση του κοινού μόνο σε εκείνους τους καταλόγους που απαιτούνται για τη λειτουργία του ιστότοπου.

• Τα ελάχιστα προνόμια είναι το κλειδί εδώ, οπότε παρέχετε πρόσβαση μόνο στα αρχεία και στους καταλόγους που απαιτούνται για την ορθή εκτέλεση της εφαρμογής web. Ελέγξτε την τεκμηρίωση του διακομιστή ιστού για οδηγίες σχετικά με τον έλεγχο της πρόσβασης του κοινού. Ανάλογα με την έκδοση του διακομιστή σας web, οι έλεγχοι πρόσβασης είναι

  Το httpd. conf αρχείο και το. αρχεία htaccess για το Apache.

  • Διαχειριστής υπηρεσιών πληροφοριών Internet για IIS

  • Οι πιο πρόσφατες εκδόσεις αυτών των διακομιστών web έχουν από προεπιλογή καλή ασφάλεια καταλόγου, ώστε, αν είναι δυνατόν, βεβαιωθείτε ότι εκτελείτε τις πιο πρόσφατες εκδόσεις.

Τέλος, σκεφτείτε να χρησιμοποιήσετε μια μηχανή αναζήτησης honeypot, όπως το Google Hack Honeypot. Ένα honeypot προσελκύει κακόβουλους χρήστες, έτσι ώστε να μπορείτε να δείτε πώς οι κακοί παίκτες εργάζονται στον ιστότοπό σας. Στη συνέχεια, μπορείτε να χρησιμοποιήσετε τις γνώσεις που κερδίζετε για να τους κρατήσετε σε απόσταση.