Ottfelejtett mentés- és naplófájlok a tárhelyen: mit tölthet le belőlük bárki?

Mi történt a korábbi költöztetés során?

Egy nemrég átvett ügyféloldalunk biztonsági átnézésénél találtunk egy apró, de tanulságos hibát. A weboldal korábban egy költöztető bővítménnyel került át egyik tárhelyről a másikra. A költöztetés lezajlott, az oldal működött, de a bővítmény naplófájljai ott maradtak a tárhelyen, egy olyan mappában, ami a weben keresztül bárki számára elérhető volt.

Aki ismerte vagy kitalálta a fájlok útját, a böngészőjében egyszerűen megnyithatta őket. A naplókból kiolvasható volt a szerver belső mappaszerkezete és az adatbázis-felhasználó neve. A jelszót a bővítmény szerencsére kitakarta, így ebben az esetben a teljes oldal nem került veszélybe.

Mégis érdemes komolyan venni. Egy támadónak minden ilyen információ egy lépéssel közelebb visz: tudja, hol van mi a szerveren, és már csak a jelszót kell megszereznie. És ami még fontosabb: ugyanez a hiba egy másik fájltípusnál sokkal nagyobb bajt okoz.

Egy ilyen fájlt nem kell véletlenül megtalálni. Az interneten automatikus robotok járnak, amelyek oldalról oldalra haladva tipikus fájlneveket és mappákat próbálgatnak: mentés-archívumokat, adatbázis-dumpokat, telepítő- és naplófájlokat. Nem rád vadásznak személyesen, hanem mindenkin végigmennek, és ahol találnak valamit, ott letöltik.

Milyen kockázatokkal járhatnak a mentésfájlok?

A naplófájlnál sokkal veszélyesebb az ottfelejtett mentés-archívum. A költöztető és mentő bővítmények a teljes weboldalt egyetlen tömörített fájlba csomagolják, és ez a fájl sokszor ugyanabba a nyilvános mappába kerül, mint maga az oldal. Ugyanez igaz a kézzel készített adatbázis-mentésekre is, amiket valaki „csak gyorsan” a webgyökérbe tett.

Egy ilyen archívumban benne van minden:

• A teljes adatbázis: a bejegyzések és oldalak mellett a felhasználók listája, a beküldött űrlapok, webáruháznál a vásárlók és a rendelések adatai.
• A wp-config.php fájl: ebben áll az adatbázis jelszava és a biztonsági kulcsok.
• A teljes forráskód és a feltöltött fájlok: minden, ami egy pontos másolat elkészítéséhez kell.

Ha egy ilyen fájl letölthető, a támadónak nem kell betörnie: egyszerűen letölti az egészet. Ráadásul a személyes adatok kiszivárgása adatvédelmi szempontból is súlyos ügy, amiért a weboldal tulajdonosa felel.

Hogy kerül ilyen fájl a nyilvános mappába? Legtöbbször egészen hétköznapi módon. Valaki a költöztetés előtt a szerveren becsomagolta az oldalt, hogy egyben töltse le, és utána a csomagot ott felejtette. Egy bővítmény alapbeállítása szerint a saját mappájába mentett. Vagy egy fejlesztő egy javítás előtt biztonsági másolatot tett a webgyökérbe, és a munka végén elfelejtette törölni. Egyik sem rossz szándék, csak egy kimaradt utolsó lépés.

Ellenőrizd a kritikus mappákat a tárhelyen

Ha az oldaladat valaha költöztették, mentették vagy újraépítették, érdemes megnézni, maradt-e ilyen fájl. Ezt a fejlesztőd vagy az üzemeltetőd a tárhely fájlkezelőjében vagy FTP-n gyorsan át tudja nézni. Ezeket a helyeket nézze meg:

• A webgyökér: a legfelső mappa, ahol a WordPress fájljai vannak. Itt nem lehet semmilyen .zip, .tar, .gz vagy .sql végű fájl.
• A wp-content mappa: a mentő és költöztető bővítmények saját almappákat hoznak itt létre a mentéseiknek és a naplóiknak.
• A régi, félbehagyott mappák: például egy „regi”, „backup”, „teszt” vagy „uj” nevű mappa egy korábbi munkából.

Ha talál ilyen fájlt, a következő kérdés: letölthető-e kívülről? Ezt úgy lehet ellenőrizni, hogy a fájl webcímét megnyitja egy böngészőben, bejelentkezés nélkül. Ha letöltődik, vagy olvasható szöveg jelenik meg, a fájl nyilvános.

A tárhelyszolgáltató saját mentései más kérdés. Ezek általában a tárhely belső, a weben nem elérhető részén tárolódnak, és az ügyfélfelületről lehet belőlük visszaállítani. Ezeket nem kell keresni a fájlok között. A veszélyesek azok, amelyeket egy bővítmény vagy egy ember tett a weboldal saját mappáiba.

Nem minden mentés-mappa veszélyes. A jól beállított bővítmények a mappájukat letiltják a weben, így a fájl ott van, de kívülről nem tölthető le. Ezt is érdemes ellenőrizni, nem feltételezni.

Mit tegyél a mentés- és naplófájlokkal?

A helyes rend egyszerű, csak következetesnek kell lenni:

• A mentés ne a nyilvános mappában legyen. A legjobb, ha külön tárhelyre vagy felhőtárhelyre kerül, ahonnan a weboldal feltörése esetén sem érhető el.
• Költöztetés után takaríts. Ha egy bővítménnyel átköltöztettétek az oldalt, a végén a segédfájlokat, a telepítő naplókat és a feltöltött archívumot töröld, és ha már nem kell, magát a bővítményt is.
• Ahol nem lehet törölni, tiltsd. Ha egy mappát a bővítmény működéséhez meg kell tartani, a tárhelyen be lehet állítani, hogy kívülről ne lehessen belőle semmit letölteni.
• A régi, félbehagyott másolatok is mennek. Egy elfelejtett teszt-mappa ugyanúgy támadható, mint az éles oldal, és senki nem frissíti.

Ha kiderül, hogy egy teljes mentés vagy a wp-config.php egy ideig nyilvánosan letölthető volt, a törlés mellett a jelszavakat is cserélni kell: az adatbázisét, az admin-fiókokét, és ha volt benne, a tárhely és az e-mail fiókok jelszavát is. Nem tudhatod, hogy valaki letöltötte-e, ezért úgy kell kezelni, mintha igen.

Ha bizonytalan vagy abban, hogy egy fájl kell-e még, ne töröld vakon. Előbb készüljön egy mentés külön helyre, és utána takaríts. Egy ottfelejtett fájl kockázat, egy véletlenül törölt működő fájl pedig leállást okozhat.

A biztonsági átnézés és üzemeltetés fontossága

Ezt a hibát kívülről senki nem veszi észre. Az oldal működik, a látogatók semmit nem látnak, és a tulajdonos sem tud róla. Pont ezért kell rendszeresen, szándékosan megnézni, nem akkor, amikor már baj van.

A legjobb pillanat az ellenőrzésre minden olyan munka vége, amikor fájlok kerültek a tárhelyre: költöztetés, tárhelyváltás, nagyobb átalakítás, egy új fejlesztő munkájának átadása. Ilyenkor az utolsó lépés mindig a takarítás és egy gyors ellenőrzés, hogy semmi nem maradt kint, aminek nem kellene.

Egy biztonsági átnézés során az ilyen ottfelejtett fájlok mellett azt is ellenőrizzük, hogy a gyári belépési cím el van-e rejtve, kiadja-e az oldal a felhasználóneveket, frissek-e a bővítmények, és hogy a mentések tényleg külön helyen vannak-e. Az üzemeltetés része, hogy ez ne egyszeri alkalom legyen, hanem rendszeres rutin, minden költöztetés és nagyobb munka után különösen.

Ha szeretnéd, hogy átnézzük az oldaladat, vagy átvegyük a rendszeres karbantartását, nézd meg a weboldal-üzemeltetésről szóló oldalunkat, vagy kérj ajánlatot. Ha az oldaladat most veszed át egy korábbi fejlesztőtől, a weboldal-átvétel lépéseiről szóló cikkünk segít, mire figyelj.