Qual è la vulnerabilità nel mio codice PHP?

Free non va lontano, ma puoi provare a eseguire da solo il seguente:

• L'edizione della community di netsparker : link
• skipfish: link
• E se vuoi scavare più a fondo & sei disposto a dedicare un po 'di tempo a imparare a maneggiarlo, puoi scaricare e attivare Burp: link

Gli scanner black box sopra elencati probabilmente catturerebbero le vulnerabilità più evidenti (specialmente se esegui manualmente la scansione della tua app per assicurarti che gli scanner testino tutto - ogni strumento supporta la scansione manuale, ad esempio link )

Inoltre, devi eseguire la convalida sul client AND server :

OWASP: "Performing validation in client side code, generally JavaScript, provides no protection for server-side code. An attacker can simply disable JavaScript, use telnet, or use a security testing proxy such as WebScarab to bypass the client side validation."

In primo luogo, hai ciò che sembra PHP Shells in img / 51.php e img / 74.php che potrebbero essere state la fonte (o le origini) del tuo problema. Questi sono generalmente caricati da qualcuno che ha compromesso un sito al fine di eseguire facilmente i comandi del sistema operativo e / o interrogare il database.

In questo caso, potresti riscontrare un problema con una versione non sicura del tuo pannello di controllo / software di gestione (o una password non sicura) o qualche altro problema a livello di server web invece che un problema nell'applicazione stesso (nota, non ho dato un'occhiata alla fonte in ogni dettaglio).

Per me sembra che tu stia vivendo persone usando Open Redirects (OWASP) per inviare i tuoi utenti a siti malevoli senza che se ne rendano conto.

Ti consiglio di provare a eseguire la scansione della tua applicazione con:

• Nikto
• Skipfish

Non mi dispiacerebbe dare un'occhiata anche al tuo sito. Se puoi pubblicarlo e lasciarlo nei commenti o inviare una email a k4rrax [at] gmail [punto] com

EDIT : anche il collegamento di Tate a Netsparker sembra uno strumento piacevole che potrebbe aiutarti a sederti.

EDIT 2 : se stai inviando un codice sorgente, ricorda di rimuovere qualsiasi informazione sensibile da esso prima di inviarlo.

Ho avuto problemi con l'installazione di skipfish, ma NetSparker funziona alla grande, grazie per il suggerimento. Tuttavia, non sono stati rilevati problemi di sicurezza principali.

Sono giunto alla conclusione che molto probabilmente ho abilitato le autorizzazioni sbagliate sulla directory del sito in primo luogo (+ w per gli altri). Potrebbe essere così semplice, no?

Di solito abilito + w per il server, in modo che possa scrivere dati in un file di testo, ma forse sono stato semplicemente negligente quando ho impostato i flag. Da un lato, spero che questo non sia il caso, in quanto non solo è un errore stupido, ma probabilmente ho sprecato il tempo di tutti. D'altra parte, sapere che questo è il caso, mi farebbe sentire molto meglio a distribuire script simili in futuro (poiché di solito riutilizzo molto il mio codice).

Il mio unico problema è che la community di netsparker non consente la scansione di file locali, quindi non controlla il codice PHP. Ma poi di nuovo, un utente malintenzionato non sarebbe in grado di vedere quel codice ...

Se qualcuno si imbatte in altri difetti di sicurezza nel codice, sarei molto grato, ma altrimenti prenderò in considerazione il problema. Grazie a tutti per esserti stato di grande aiuto - per lo meno, ho appreso alcuni suggerimenti che garantiranno la sicurezza del mio sito in futuro.

Grazie! Jeff

A website of mine was recently hacked

...

website remain unchanged

Hmmm, quelli sembrano contraddittori - come fai a sapere che il sito non è stato compromesso? E se il sito web non è stato compromesso, che senso ha eseguire uno scanner di vulnerabilità contro di esso?

Sono disponibili scanner gratuiti, ma sono alla ricerca di vulnerabilità ben note o si limitano a eseguire operazioni di base molto semplici. C'è un vecchio elenco qui ma c'è un enorme divario tra ciò che questi possono rilevare e ciò che un buon investigatore potrebbe trovare. Sembra che tu abbia l'impressione che ci sia una specie di soluzione magica là fuori.

Dovresti eseguire un controllo completo del sistema operativo, cercando backdoor / rootkit - per riformattare le preferenze dei dischi e reinstallare il sistema operativo e le patch da zero. E poi effettuare una corretta revisione della sicurezza del tuo sito. Come minimo, prenderà qualcuno che sa quello che stanno facendo almeno 3 giorni per trovare qualche problema ovvio. Anche per un sito di piccole dimensioni, una revisione completa della sicurezza potrebbe richiedere mesi di ETP, anche anni.

they were somehow able to use the domain to create a link that re-directed to an ebay phishing scam

Questo non significa molto. Vuoi dire che inseriscono un link href nel tuo contenuto che punta al sito di phishing? Che i tuoi record DNS sono stati modificati in modo che puntino all'altro sito? Che hanno aggiunto un meta reindirizzamento? Un reindirizzamento JavaScript? Capire cosa hanno cambiato è il primo passo per capire come sono cambiati.

Se vuoi iniziare a controllare le vulnerabilità del tuo sito web e non hai idea di quale software sia più adatto alle tue esigenze, penso che alcuni servizi online potrebbero essere d'aiuto.

Generalmente non sono servizi gratuiti, ma probabilmente alcuni di questi offrono una prima scansione gratuita.

Penso che siti come link con il suo plugin per browser chrome, link o link , ad esempio, può essere utile per iniziare.

Software che può aiutarti a controllare manualmente la sicurezza del tuo sito, direttamente dal tuo pc, ad esempio, nessus, w3af, owasp-zap ecc. alcuni di questi sono elencati in link e alcuni di essi sono stati elencati da Karrax nella sua risposta.

Per iniziare a utilizzare alcuni di questi strumenti senza il problema di installarli, ti suggerisco di scaricare e avviare le distribuzioni di sicurezza di Linux come link o link

Free? Sei per lo più sfortunato. La maggior parte degli strumenti sono strumenti commerciali (a pagamento).

La miglior difesa che puoi ottenere, gratuitamente, è di imparare un po 'su alcuni degli attacchi più comuni sui siti web, così puoi proteggerti. Suggerisco di conoscere:

• Iniezione SQL : ecco un bel tutorial .
• Apri reindirizzamenti
• Difetti di sicurezza comuni di PHP e best practice .

Devo echeggiare il commento di karrax ma non abbastanza bello su questo sito per votare nulla. Dubito che il tuo sito sia stato "hackerato", sembra più un reindirizzamento non convalidato. Generalmente quando il tuo sito esegue un reindirizzamento, conosci le destinazioni valide. Limita l'inoltro a queste posizioni e quindi uno spammer non può utilizzare il tuo sito come intermediario.

Questo è un problema incredibilmente comune e qualsiasi sito che reindirizzi in base ai dati forniti dall'utente sarà vulnerabile. Gli scanner Web comuni sono solo moderatamente bravi a catturare questo.

link

Generalmente, gli spammer lo usano per inviare utenti a siti di malware.