Витік інформації про версію системи №2
22:48 22.02.2010Продовжу тему витоку інформації про версію системи. Як я зазначав, виведення версії системи - це поширена функція у веб додатках та веб системах. Багато різних движків виводять інформацію про версію системи і дана можливість движків є уразливістю. Це витік інформації (Information Leakage) про версію системи, що може бути використаний для атаки на сайти, що використовують даний движок.
Наведу нові приклади Information Leakage уразливостей в різних веб додатках, що приводять до витоку інформації про версію системи.
Drupal
В Drupal версію системи можна дізнатися в файлі http://site/CHANGELOG.txt.
TYPO3
На всіх сторінках сайта на цьому движку в мета-тегах виводиться версія системи (TYPO3 4.0 CMS).
Joomla
В Joomla є декілька витоків інформації:
- На всіх сторінках сайта на цьому движку в мета-тегах виводиться неповна версія системи (Joomla! 1.5 - тобто версія Joomla 1.5.x).
- В файлі http://site/language/en-GB/en-GB.xml та інших xml-файлах локалізацій вказана версія движка, при останньому оновленні файла (<version>1.5.2</version> - тобто версія Joomla 1.5.2 і вище).
pMachine Pro
В pMachine Pro є декілька витоків інформації:
- На сторінці адмінки pMachine Pro http://site/pm/ виводиться версія системи (pMachine Pro 2.4).
- В файлі http://site/index.xml виводиться версія (pMachine 2.4).
ExpressionEngine
На сторінці адмінки ExpressionEngine http://site/system/ виводиться версія системи (ExpressionEngine 1.2.1).
Вівторок, 17:10 02.03.2010
ExpressionEngine остання версія 1.6.8 і вже давно як на сторінці адмінки виводиться інформація про версію системи і це нормально для КМС вивід такої інформації в адмінці)))
Але ж http://site/system/ це шлях за умовчанням який розробники рекомендують змінити на свій ще під час встановлення системи і це взагалі легко зробити
Вівторок, 23:44 02.03.2010
budulay
Я знаю, що вже є більш нові версії ExpressionEngine (заходив раніше на їх сайт, коли повідомляв про попередні уразливості в даній CMS). На витоки версій в веб додатках я звертаю увагу вже багато років і ще в 2008 вирішив написати дану серію статей. І з тих пір я збираю інформацію про витоки версій в різних веб додатках (й записую собі приклади витоків тих версій, які мені трапляються, в даному випадку 1.2.1). Наведені в статтях версії це лише приклади витоку інформації.
На всіх версіях EE, що я зустрічав (від 1.2.1 і вище), є даний витік інформації, як і в pMachine Pro 2.4. Так що всі версії ExpressionEngine мають даний витік.
В даному випадку йдеться не про виведення інформаці в самій адмінці, а на сторінці логіна в адмінку (а це різні речі). Тобто цю інформацію може побачити будь-хто (без авторизації) і в своїй серії статей я пишу виключно про публічні витоки інформації.
З наведених додатків, подібні витоки мають Nucleus, pMachine Pro та ExpressionEngine (і є ще багато інших веб додатків з таким витоком).
Вівторок, 23:57 02.03.2010
Ну я до того, що дуже рідко залишається шлях до адмінки за умовчанням - system і зазвичай його міняю ще при встановленні.
Більш реальним є дізнатись версію двигунця з емейлів які він генерує, в юзер-агенті ЕЕ висилає назву двигунця і його версію…
хоча в core.system.php можна змінити і назву двигунця і його версію
Середа, 23:56 03.03.2010
budulay
В тому то і справа, що він достатньо поширений. Бо мало хто змінює дефолтні шляхи. В моїх дослідженнях дефолтний шлях був майже на всіх сайтах, що мені траплялися як з ExpressionEngine, так і з іншими движками.
Це добре, що девелопери EE самі радять це робити і що це не важка процедура. Але насправді небагато адмінів сайтів це використовують на практиці
.
В тому то і справа, що в більшості випадків власники сайтів використовують дефолтні шляхи. Я писав одразу про три движка з подібним витоком (і ще напишу про інші) і відповідно в середньому для них всіх на практиці в основному використовуються шляхи за замовчуванням. Для EE це може бути менш частіше ніж у випадку інших движків, але і для нього також. І на всіх таких сайтах можливе використання даного методу.
Окрім зміни дефолтного шляху, або прибирання версії, також може використовуватися метод заборони доступа до адмінки по IP (засобами веб сервера). Але всі ці методи не дуже поширені й в основному на сайтах наявні витоки версій веб додатків. Бо переважно на цей аспект мало хто звертає увагу.