Web security

   Failles include, XSS, CRLF, injection SQL, bypass, etc…

Skip to: Content | Sidebar | Footer

logo

Le danger des Backups

23 août, 2010 (04:36) | Failles | Rédigé par: Mathieu

* * * *   3 vote

Introduction

J’ai récemment vu sur un site de challenge en ligne un gars qui disait pouvoir voir les sources des challenges et ainsi valider avec le mot de passe qui va bien.

La faille

En fait, le type en question utilisait le fait que l’administrateur utilisait VI sur linux pour modifier ses fichiers.
Or lorsque VI modifie un fichier, il cree aussi un fichier de sauvegarde avec le meme nom plus ~.
Ce qui fait qu’un fichier, monFichier.php par exemple, était intégralement copie vers le fichier monFichier.php~.

Il suffisait donc de rentrer dans l’URL le nom d’un fichier de challenge + ~ et l’on pouvait voir le code source du challenge ( la nouvelle extension étant considérée comme un fichier text a ne pas interpreter ).

Mais le vice va plus loin, en effet, bon nombre de developpeurs, lors d’une mise a jour, doivent remplacer certains fichiers sensibles, mais de peur de tout faire crasher, ils sauvegardent la version en cours du fichier. Pour se faire, ils renomment simplement le fichier en ajoutant un suffixe comme old, _old, 2, etc. Ce qui fait que l’on peut parfois acceder a du contenu obsolete et dangereux pour le SI…

Il faut savoir est relativement facile de trouver ce genre de fichier grace a l’indexation de Google. (voir l’article Google, un ami qui vous aide a pirater…)

Protection

La protection est tout naturellement d’effacer tous ces fichiers ou d’enregistrer dans les preferences de ne pas faire une copie du fichier en cours de modification.

Types d’extensions connues

Voici une liste non-exhaustive des extensions et des rajouts que les logiciels et developpeurs utilisent pour effectuer des sauvegardes :

// extensions
.sav
.bak
~

// rajouts
old
_old
2

Si vous connaissez d’autres extensions ou rajout, n’hésitez pas a m’en faire part !

Post to Twitter Post to Delicious Post to Facebook Post to MySpace

Partager : Post to Google Buzz Post to Twitter Post to Delicious Post to Facebook Post to MySpace

Commentaires

Comment Rédigé par Greg
Date décembre 26, 2010 at 1:46

Cer que tu dis est surement vrai. Mais en général, tu ne bosses jamais sur un serveur en prod. tu as le plupart du temps un serveur de preprod, et un serveur de dev. Au pire, tu peux avoir des fichiers temporaires sur ton serveur de dev, mais il n’y a aucune raison pour qu’ils se retrouvent sur le serveur de preprod, puis en dev.
Enfin, qu’elle que soit ta méthode pour travailler, de façon général, a part le fichier index.php, il n’y a aucun fichier php (ou de conf) accessible par apache, et opposable au public …

Ecrire un commentaire