Detecteren en voorkomen van map Traversal Hacks - Dummies

Directory traversal is echt een basiszwakte, maar het kan interessante - soms gevoelige - informatie over een websysteem opleveren, waardoor het vatbaar wordt voor hacks. Deze aanval omvat het bladeren door een site en zoeken naar aanwijzingen over de directorystructuur van de server en gevoelige bestanden die opzettelijk of onopzettelijk zijn geladen.

Voer de volgende tests uit om informatie over de directorystructuur van uw website te bepalen.

Crawlers

Een spider-programma, zoals de gratis HTTrack-website Copier, kan uw site crawlen om te zoeken naar elk openbaar toegankelijk bestand. Om HTTrack te gebruiken, laad het simpelweg, geef je project een naam, zeg HTTrack welke website (s) je wilt spiegelen en na een paar minuten, mogelijk uren, heb je alles wat publiek toegankelijk is op de site die op je lokale schijf is opgeslagen in c: Mijn websites.

Gecompliceerde sites onthullen vaak meer informatie die er niet zou moeten zijn, inclusief oude databestanden en zelfs applicatiescripts en broncode.

Bij het uitvoeren van webbeveiligingsbeoordelingen zijn er onvermijdelijk meestal. zip of. rar-bestanden op webservers. Soms bevatten ze rommel, maar vaak bevatten ze gevoelige informatie die er niet zou moeten zijn voor het publiek.

Bekijk de uitvoer van uw crawlprogramma om te zien welke bestanden beschikbaar zijn. Normale HTML- en PDF-bestanden zijn waarschijnlijk in orde omdat ze waarschijnlijk nodig zijn voor normaal internetgebruik. Maar het zou geen kwaad om elk bestand te openen om er zeker van te zijn dat het daar thuishoort en geen gevoelige informatie bevat die je niet met de wereld wilt delen.

Google

Google kan ook worden gebruikt voor het doorlopen van mappen. De geavanceerde zoekopdrachten van Google zijn zelfs zo krachtig dat u ze kunt gebruiken om gevoelige informatie, kritieke webserverbestanden en -mappen, creditcardnummers, webcams te verwijderen - eigenlijk alles wat Google op uw site heeft ontdekt - zonder uw site te hoeven spiegelen Alles handmatig doorzoeken. Hij zit daar al in de cache van Google te wachten om te worden bekeken.

Hierna volgen enkele geavanceerde Google-query's die u rechtstreeks in het zoekveld van Google kunt invoeren:

• site: hostnaamzoekwoorden : met deze query wordt gezocht naar alle zoekwoorden die u opgeeft, zoals SSN <, vertrouwelijk , creditcard, enzovoort. Een voorbeeld is: site: www. principlelogic. com speaker

  bestandstype: bestand-extensie site: hostnaam
  

• - Deze query zoekt naar specifieke bestandstypen op een specifieke website, zoals doc, pdf, db, dbf, zip en meer.Deze bestandstypen kunnen gevoelige informatie bevatten. Een voorbeeld is: bestandstype: pdf-site: www. principlelogic. com

Andere geavanceerde Google-operators zijn:

allintitle

• zoekt naar trefwoorden in de titel van een webpagina. inurl

• zoekt naar trefwoorden in de URL van een webpagina. gerelateerd

• vindt pagina's die lijken op deze webpagina. link

• geeft andere sites weer die naar deze webpagina linken. Een uitstekende bron voor Google-hacking is de Google Hacking Database van Johnny Long.

Zoek bij het doorzoeken van uw site naar Google naar gevoelige informatie over uw servers, netwerk en organisatie in Google Discussiegroepen, het Usenet-archief. Als u iets vindt dat er niet hoeft te zijn, kunt u met Google werken om het te bewerken of te verwijderen. Raadpleeg de pagina Contact opnemen met Google voor meer informatie.

Tegenmaatregelen tegen directory-traversals

U kunt drie belangrijke tegenmaatregelen nemen tegen het aangetast zijn van bestanden via kwaadaardige directorytraversals:

Sla geen oude, gevoelige of anderszins niet-openbare bestanden op uw webserver op.

• De enige bestanden in uw / htdocs of DocumentRoot-map zijn de bestanden die nodig zijn om de site correct te laten werken. Deze bestanden mogen geen vertrouwelijke informatie bevatten waarvan u niet wilt dat de wereld die ziet. Configureer uw

• robots. txt bestand om te voorkomen dat zoekmachines, zoals Google, de meer gevoelige delen van uw site doorzoeken. Zorg ervoor dat uw webserver correct is geconfigureerd om alleen openbare toegang te verlenen tot die mappen die nodig zijn voor de werking van de site.

• Minimale rechten zijn hier van cruciaal belang, dus geef toegang tot alleen de bestanden en mappen die nodig zijn om de webtoepassing correct te laten werken. Raadpleeg de documentatie bij uw webserver voor instructies voor het beheren van openbare toegang. Afhankelijk van uw webserverversie, zijn deze toegangsopties ingesteld in

  De httpd. conf bestand en de. htaccess-bestanden voor Apache.

  • Internet Information Services Manager voor IIS

  • De nieuwste versies van deze webservers hebben standaard een goede directorybeveiliging, dus zorg er indien mogelijk voor dat u de nieuwste versies gebruikt.

Overweeg ten slotte een honeypot voor een zoekmachine te gebruiken, zoals de Google Hack Honeypot. Een honeypot trekt kwaadwillende gebruikers aan, zodat je kunt zien hoe de slechteriken tegen je site werken. Dan kun je de kennis die je krijgt gebruiken om ze op een afstand te houden.