T&R splet blog o spletnih storitvah. Razgaljamo tehnologijo!

reference spletnih strani
« Microsoft Security Essentials – brezplačni antivirusnik – virusi, trojanci, spyware
Prenovljena spletna stran trsplet.si »
5th October

SVN varnostni problem – dostop do izvorne kode preko domena.com/.svn/ URL-ja

Rusko podjetje twocomrades je ugotovilo, da je veliko število spletnih strani ranljivih v smislu dostopa do izvorne kode preko http://moja-domena.si/.svn/.

Opis problema

.svn direktorij je ustvarjen s strani Subversion programa za vsak direktorij, ki ga vodimo skozi SVN. Prosti dostop do .svn direktorija preko URL-ja pa omogoča seznam vaših direktorij ter ponavadi tudi dostop do izvorne kode tekstovnih datotek, med katere spada tudi PHP izvorna koda. Napadalec lahko dobi vaša gesla za dostop do baze, pregleda kako deluje aplikacija ali pa vam enostavno ukrade celotno aplikacijo.

Apache splošna rešitev

Uredite httpd.conf:

PLAIN TEXT
HTML:
  1. <Directory ~ ".*.svn">
  2.     Order allow,deny
  3.     Deny from all
  4.     Satisfy All
  5. </Directory>

cPanel rešitev

Uredite /usr/local/apache/conf/includes/post_virtualhost_global.conf:

PLAIN TEXT
HTML:
  1. <Directory "^/.*/.svn/">
  2.         Order allow,deny
  3.         Deny from all
  4.         Satisfy All
  5. </Directory>
  6.  
  7. <DirectoryMatch "^/.*/.svn/">
  8. Order deny,allow
  9. Deny from all
  10. </DirectoryMatch>

Da bodo spremembe ostale za vedno pa poženite še ukaz:
/usr/local/cpanel/bin/apache_conf_distiller --update

Zanimivosti

Rusko podjetje je izjavilo, da v roku 2 tednov pridobilo več kot terabajt zvorne kode. Zanimivo je tudi, da so ranljive tudi večje/bolj znane spletne strani, kot je apache.org ter php.net.

Vaša spletna stran

Ali je vaša spletna stran ranljiva? Preprosto preverite z http://vasa_domena.com/.svn/.

Več informacij o članku

Deli s skupnostjo:

  • Print
  • Digg
  • Sphinn
  • del.icio.us
  • Facebook
  • Mixx
  • Google Bookmarks

Podobni članki:

  1. Optimizacija PHP kode – prezgodnja optimizacija je zlo – apache ab testiranje
  2. cPanel – dodajanje apache mod_geoip modula – omejitev glede na državo obiskovalca
  3. Namestitev in predelava WampServer 2 (php extensions, virtual host, httpd.conf, mod rewrite)
  4. Omejitev dostopa do spletne strani preko apache .htaccess in .htpasswd datoteke
  5. Avtomatska posodobitev PHP skript preko centralne lokacije
  6. Javascript – delci uporabne kode
  7. PHP setlocale (seznam držav in kode le-teh)
  8. Dodatek za pisanje kode (PHP, MySQL, Javascript itd…)
  9. Apache htaccess preusmeritve

Roky || Monday, October 5th, 2009 ob 4:41 pm || Splet || RSS 2.0 | Dodaj komentar || Trackback


9x komentirano na “SVN varnostni problem – dostop do izvorne kode preko domena.com/.svn/ URL-ja”

  1. gasper_k je napisal:
    October 5th, 2009 ob 8:25 pm

    Tole v bistvu ni SVN varnostni problem, temveč neznanje sistemskega administratorja in programerjev.

  2. Roky je napisal:
    October 5th, 2009 ob 9:00 pm

    Res je, načeloma je kriv sistemski administrator, ampak izhaja pa iz uporabe .SVN-ja, zato sem na tak način predstavljiv (na nek najbolj razumljiv način).

  3. Emanuel je napisal:
    October 7th, 2009 ob 10:47 am

    .svn folderji nimajo na produkciji kaj iskat..

  4. Roky je napisal:
    October 7th, 2009 ob 12:18 pm

    Boš vsakič, ko nekaj popraviš za projetk naredil svn export na produkcijo?

  5. gasper_k je napisal:
    October 8th, 2009 ob 9:57 pm

    ja, vsakič in vedno. :)

  6. Roky je napisal:
    October 9th, 2009 ob 7:08 am

    Hehe, bi vas rad videl:)

  7. gasper_k je napisal:
    October 9th, 2009 ob 1:20 pm

    Ne hecam se. Postopek updejta je zahteven in v ta namen imamo spisane cele skripte v phingu, da postopek popolnoma avtomatizirajo:
    - export projekta
    - pakiranje in verzioniranje JS in CSS datotek
    - umakneš strežnik z load balancerja
    - reset APC cachea na strežniku
    - rsync projekta na strežnik
    - preload memcache in APC cachea
    - vklopiš strežnik nazaj v load balancer

    In to je samo okvirno. :)

  8. Marko je napisal:
    October 9th, 2009 ob 10:34 pm

    Drži, pri nas imajo administratorji tudi zgledno definirane policyje glede tega. Release se tagira, potem ga pa oni namestijo na predprodukcijo, kjer se stestira in potem v primeru, da je vse kul, namesti na produkcijo, do koder razvijalci načeloma nimamo write dostopa.

    .svn mapice pa se na produkciji znajdejo, če nekdo ne loči med export in checkout... v takem primeru mu za to jesen priporočam prodajanje kostanja namesto šarjenja po strežnikih :-)

  9. SVN varnostni problem – dostop do izvorne kode preko domena.com … : : domena je napisal:
    May 6th, 2010 ob 1:07 am

    [...] Czytaj więcej: SVN varnostni problem – dostop do izvorne kode preko domena.com … [...]

Dodaj komentar