I file di classe php esposti sono vulnerabili alla sicurezza?

Question

I file di classe php esposti sono vulnerabili alla sicurezza?

#1 da (4 voti)

1

Attualmente sto cercando di rendere un po 'più sicura una vecchia applicazione web PHP. Attualmente, l'installazione di apache è tale che tutti i file di classe dell'applicazione sono disponibili per l'accesso degli utenti (sebbene gli indici siano disattivati). Navigando su di essi viene semplicemente visualizzata una pagina vuota, poiché non hanno alcun output e non stanno nemmeno inizializzando alcun oggetto, semplicemente dichiarando le classi.

Si tratta di un problema di sicurezza e di quanto grande? La mia sensazione istintiva è che è un'idea terribile, ma oltre a fornire informazioni sull'attaccante nel setup del server non ho alcun motivo particolare per pensarlo.

php apache

posta paran 08.12.2015 - 15:20

fonte

1 risposta

Leggi altre domande sui tag php apache

Non ha capito quale sia lo scopo del recente attacco TCP Faking Si possono usare i captcha scritti a mano?

score 4 · Accepted Answer

Fondamentalmente, se qualcosa è un rischio per la sicurezza dipende dalla possibilità o meno di trovare e sfruttare una vulnerabilità, sia nel codice, nel sistema o nelle persone.

Nel tuo caso, i tuoi utenti potrebbero essere in grado di indovinare i nomi dei file di classe, ma non possono vedere il loro contenuto. Assumiamo il caso peggiore e riescono a indovinare i nomi di ogni file, quindi ora hanno un intero indice.

Se i nomi dei file dicono che stai usando una libreria che ha un buco, allora è un rischio.

Se i nomi dei file forniscono informazioni che possono comportare un rischio, anche questo è un rischio.

Se i nomi dei file corrispondono a nomi di file che hanno qualche bug esoterico in Apache o qualcosa del genere, anche quello potrebbe essere un rischio.

Se la conoscenza dei nomi dei file consente loro di richiamare alcuni membri dello staff e convincerli a fornire loro il contenuto del file o a modificare il file, questo è un rischio.

Ma no, conoscere i nomi dei file non è intrinsecamente un rischio; è solo un rischio se questo dice loro qualcosa su come funziona il sistema e li induce a una vulnerabilità.