Wie man Directory Traversal Hacks erkennt und verhindert - Dummies

Directory Traversal ist eine wirklich grundlegende Schwäche, aber es kann interessante - manchmal sensible - Informationen über ein Websystem auftauchen, wodurch es anfällig für Hacks wird. Dieser Angriff umfasst das Durchsuchen einer Website und das Suchen nach Hinweisen auf die Verzeichnisstruktur des Servers und sensible Dateien, die möglicherweise absichtlich oder unabsichtlich geladen wurden.

Führen Sie die folgenden Tests durch, um Informationen über die Verzeichnisstruktur Ihrer Website zu ermitteln.

Crawler

Ein Spider-Programm wie der kostenlose HTTrack-Website-Kopierer kann Ihre Website durchsuchen, um nach jeder öffentlich zugänglichen Datei zu suchen. Um HTTrack zu verwenden, laden Sie es einfach, geben Sie Ihrem Projekt einen Namen, teilen Sie HTTrack mit, welche Websites gespiegelt werden sollen, und nach ein paar Minuten, möglicherweise Stunden, haben Sie alles, was auf der Website öffentlich zugänglich ist. c: Meine Webseiten.

Komplizierte Websites decken oft mehr Informationen auf, die nicht vorhanden sein sollten, einschließlich alter Datendateien und sogar Anwendungsskripts und Quellcode.

Unvermeidlich gibt es bei der Durchführung von Web Security Assessments normalerweise solche. Reißverschluss oder. RAR-Dateien auf Webservern. Manchmal enthalten sie Müll, aber oft enthalten sie sensible Informationen, die nicht für die Öffentlichkeit zugänglich sein sollten.

Sehen Sie sich die Ausgabe Ihres Crawling-Programms an, um zu sehen, welche Dateien verfügbar sind. Regelmäßige HTML- und PDF-Dateien sind wahrscheinlich in Ordnung, da sie wahrscheinlich für die normale Webnutzung benötigt werden. Aber es würde nicht schaden, jede Datei zu öffnen, um sicherzustellen, dass sie dorthin gehört und keine sensiblen Informationen enthält, die Sie nicht mit der Welt teilen möchten.

Google

Google kann auch für die Verzeichnistraversierung verwendet werden. In der Tat sind die erweiterten Suchanfragen von Google so leistungsstark, dass Sie damit sensible Informationen, wichtige Webserver-Dateien und -Verzeichnisse, Kreditkartennummern und Webcams ausfindig machen können - im Grunde alles, was Google auf Ihrer Website entdeckt hat - ohne dass Sie Ihre Website spiegeln müssen. Alles manuell durchsieben. Es sitzt bereits in Googles Cache und wartet darauf, gesehen zu werden.

Im Folgenden finden Sie einige erweiterte Google-Suchanfragen, die Sie direkt in das Google-Suchfeld eingeben können:

• Website: Hostname-Keywords - Diese Suchanfrage sucht nach einem von Ihnen aufgelisteten Keyword wie SSN <, vertraulich , Kreditkarte, und so weiter. Ein Beispiel wäre: Site: www. Prinzipiell. com speaker

  Dateityp: Dateierweiterungswebsite: Hostname
  

• - Diese Abfrage sucht nach bestimmten Dateitypen auf einer bestimmten Website, z. B. nach doc, pdf, db, dbf, zip und mehr.Diese Dateitypen enthalten möglicherweise vertrauliche Informationen. Ein Beispiel wäre: Dateityp: pdf-Site: www. Prinzipiell. com

Andere fortgeschrittene Google-Operatoren umfassen Folgendes:

allintitle

• sucht nach Stichwörtern im Titel einer Webseite. inurl

• sucht nach Schlüsselwörtern in der URL einer Webseite. related

• findet Seiten, die dieser Webseite ähneln. link

• zeigt andere Websites an, die auf diese Webseite verweisen. Eine hervorragende Ressource für das Hacken von Google ist die Google Hacking-Datenbank von Johnny Long.

Wenn Sie Ihre Website mit Google durchsuchen, achten Sie darauf, in Google Groups nach sensiblen Informationen über Ihre Server, Ihr Netzwerk und Ihre Organisation zu suchen. Dies ist das Usenet-Archiv. Wenn Sie etwas finden, das nicht vorhanden sein muss, können Sie mit Google zusammenarbeiten, um es bearbeiten oder entfernen zu lassen. Weitere Informationen finden Sie auf der Google-Seite "Kontakt" von Google.

Gegenmaßnahmen gegen Verzeichnisdurchquerungen

Sie können drei Hauptmaßnahmen gegen das Kompromittieren von Dateien über bösartige Verzeichnisüberquerungen anwenden:

Speichern Sie keine alten, sensiblen oder anderweitig nichtöffentlichen Dateien auf Ihrem Webserver.

• Die einzigen Dateien, die sich in Ihrem / htdocs- oder DocumentRoot-Ordner befinden sollten, sind diejenigen, die für die ordnungsgemäße Funktion der Site erforderlich sind. Diese Dateien sollten keine vertraulichen Informationen enthalten, die die Welt nicht sehen soll. Konfigurieren Sie Ihre

• Roboter. txt Datei, um zu verhindern, dass Suchmaschinen wie Google die sensibleren Bereiche Ihrer Website durchsuchen. Stellen Sie sicher, dass Ihr Webserver ordnungsgemäß konfiguriert ist, um den öffentlichen Zugriff auf die Verzeichnisse zuzulassen, die für die Funktion des Standorts erforderlich sind.

• Mindestberechtigungen sind hier der Schlüssel. Bieten Sie also nur Zugriff auf die Dateien und Verzeichnisse, die für eine ordnungsgemäße Ausführung der Webanwendung erforderlich sind. Überprüfen Sie die Dokumentation Ihres Webservers auf Anweisungen zum Steuern des öffentlichen Zugriffs. Abhängig von Ihrer Webserver-Version werden diese Zugriffskontrollen in

  festgelegt. conf-Datei und die. htaccess-Dateien für Apache.

  • Internetinformationsdienste-Manager für IIS

  • Die neuesten Versionen dieser Webserver verfügen standardmäßig über eine gute Verzeichnissicherheit. Stellen Sie daher nach Möglichkeit sicher, dass Sie die neuesten Versionen verwenden.

Schließlich sollten Sie einen Suchmaschinen-Honigtopf verwenden, beispielsweise den Google Hack Honeypot. Ein Honeypot zieht böswillige Benutzer an, damit Sie sehen können, wie die Bösen gegen Ihre Site arbeiten. Dann können Sie das gewonnene Wissen nutzen, um sie in Schach zu halten.