Poufny plik publiczny

Dlaczego to ważne

Takie pliki często zawierają hasła do bazy danych lub poczty albo pokazują, jak zbudowana jest strona. Dzięki nim włamywacz nie musi niczego zgadywać. To najpilniejsze znalezisko sprawdzenia bezpieczeństwa.

Jak Snaglist to sprawdza

To część sprawdzenia bezpieczeństwa, oddzielnego testu obok crawla, dostępnego w Studio i Bureau, tylko dla zweryfikowanych stron. Snaglist sprawdza tylko to, co widzi każdy odwiedzający z zewnątrz. Nigdy nie loguje się, nie zgaduje haseł ani nie przeprowadza ataków. Na końcu sprawdza pięć adresów, które nigdy nie powinny być publiczne, np. /.env, /.git/HEAD, kopię zapasową wp-config.php, debug.log i phpinfo.php. Zgłasza plik tylko wtedy, gdy jego zawartość naprawdę jest tym plikiem, a nie normalną stroną. Zapora, która tu interweniuje, to dobry znak.

Częste przyczyny

• Kopia zapasowa lub plik testowy pozostawiony po zmianie
• Logowanie debugowania włączone i nigdy nie wyłączone
• Folder z kodem przesłany razem ze stroną

Jak to naprawić

1. Natychmiast usuń plik lub przenieś go poza folder sieciowy.
2. Zawierał hasło? Natychmiast je zmień.
3. Wyłącz logowanie debugowania na stronie produkcyjnej.
4. Uruchom ponownie sprawdzenie bezpieczeństwa, aby potwierdzić.

Jak to wygląda w raporcie

W raporcie dla klienta to pojawia się pod nagłówkiem „Plik jest dostępny, którego nikt nie powinien widzieć”. Gdy wszystko jest w porządku, raport wyświetla: „Żadne poufne pliki nie są publicznie dostępne”.