Sto eseguendo phpBB 3.1 su un server che usa nginx non Apache e, a causa di ciò, nessuno dei file phpBB .htaccess funziona, e quindi i file nella root del documento che sono normalmente protetti in Apache, vengono effettivamente pubblicati di nginx.
File cfg tema:
/styles/prosilver/style.cfg
Tutti i file YML in /config come /config/auth.yml
File del compositore:
/composer.lock
/composer.json
/phpbb/composer.json
/vendor/composer/installed.json
File cache (ma sembra vuoto):
/data_cron.lock_check.php.lock
Anche un .htaccess blocca /common.php e /config.php . config.php contiene le credenziali del database ma imposta solo variabili - nessun output. common.php ha il codice ma non sembra essere un rischio per la sicurezza.
Non ho configurato nginx per bloccare l'accesso a questi e vorrei chiedere se c'è qualche vulnerabilità specifica a causa dell'esposizione di questi file al pubblico?
So che è buona norma impedire l'accesso a tutto ciò di cui il pubblico non ha bisogno, ma quali sono i rischi concreti qui?
Finora li ho inventati ma non direi che sono rischi concreti:
-
I file cfg del tema espongono la versione phpBB, che potrebbe condurre un utente malintenzionato a scoprire quali errori si trovano in quella versione.
-
Se PHP diventasse in qualche modo disabilitato, allora
/config.phppotrebbe essere pubblicato, fornendo le credenziali del database.
Qualcosa di meglio di questi?