Che tipo di errata configurazione può portare a registri di server Web accessibili pubblicamente?

Ci sono alcune possibilità:

• Qualcuno ha cambiato la directory di archiviazione del log attraverso un file di configurazione .htaccess o simile, e la nuova posizione non è intenzionale all'interno della web root (ad es. hanno messo var/log/apache invece di /var/log/apache come destinazione)
• Il sistema è stato impostato in questo modo con l'intenzione di un blocco IP che impedisce l'accesso alla cartella e il blocco IP è stato dimenticato o disabilitato
• È stato creato un alias, in modo simile all'alias predefinito / manuale in Apache HTTPd (vedi Google per molti esempi)
• Esiste un programma di analisi dei log automatizzato in esecuzione che espone i dati del registro in qualche modo e nessuna protezione è stata implementata per questo

Essenzialmente, le persone sono infinitamente creative quando si tratta di fare errori, e l'accesso ai file di registro non fa eccezione!

@Matthew ha già elencato ottimi punti. Potrei pensare ad un altro, che penso sia abbastanza comune:

Alcune applicazioni ma i log all'interno della loro directory principale o una sottodirectory di esso (probabilmente perché è più semplice, sanno che quella posizione esiste e che probabilmente hanno i diritti di lettura e scrittura lì) che spesso dovrebbero essere pubblici.

Quindi limitano l'accesso ai log e vari altri file tramite htaccess.

Il problema qui è che il server può ignorare quei file htaccess, perché non è un server web Apache, o perché è configurato per non analizzare i file htaccess.