Витік інформації про версію системи №5
22:41 08.07.2010Продовжу тему витоку інформації про версію системи. Як я зазначав, виведення версії системи - це поширена функція у веб додатках та веб системах. Багато різних движків виводять інформацію про версію системи і дана можливість движків є уразливістю. Це витік інформації (Information Leakage) про версію системи, що може бути використаний для атаки на сайти, що використовують даний движок.
Наведу нові приклади Information Leakage уразливостей в різних веб додатках (зокрема форумах), що приводять до витоку інформації про версію системи.
IPB
В IPB на кожній сторінці форуму виводиться версія системи (Powered by Invision Power Board v1.3).
phpBB
В phpBB версію системи можна дізнатися в файлах http://site/docs/CHANGELOG.html, http://site/docs/INSTALL.html та http://site/docs/README.html (phpBB 2.0.13).
vBulletin
В vBulletin на кожній сторінці форуму виводиться версія системи (Powered by vBulletin Version 3.8.2).
SMF
В SMF на кожній сторінці форуму виводиться версія системи (Powered by SMF 1.1.11).
YaBB
В YaBB на кожній сторінці форуму виводиться версія системи (Powered by YaBB 2.4).
П'ятниця, 01:51 09.07.2010
по форумам в загалом ії ставлять хибну.
П'ятниця, 10:03 09.07.2010
Далеко не завжди, не всі звертають увагу на версію, дехто взагалі не знає, чим це може може загрожувати. дехто на тому ж vbulletin прибере з головної сторінки, але на внутрішніх, як наприклад archive чи site.com/forum/clientscript/*.js залишить, бо не бачить/не знає, що воно там є.
П'ятниця, 23:38 09.07.2010
spayder
Вказання невірної версії движка (для дезінформації) - це один з методів захисту. І він нерідко використовується в Інтернеті (деякими адмінами, що намагаються захистити движки їхніх сайтів).
Стосовно форумів. Не звертав увагу хибну, чи ні ставлять, але звертав увагу, що її часто тримають (а в адмінів питати, чи хибна версія я не стану). Так що в більшості випадків, що на форумах, що в інших движках люди не прибирають версію. Бо не розуміють ризиків та не бачать жодних проблем з цим.
І як влучно зауважив Dementor, ті хто прибирає версії движків, нерідко забувають прибрати у всіх місцях (сам з таким часто стикався). Тому в даній своїй серії статей я намагаюся наводити різні місця на сайті, де може бути вказана версія движка.
П'ятниця, 23:46 09.07.2010
Dementor
Так, в js-скриптах деяких движків також буває вказується версія. А також в css та інших файлах, як я вже писав раніше. Іноді в js, css та інших додаткових файлах движка, в тому числі й в readme (наприклад в файлах скіна чи плагіна) може вказуватися не поточна версія, а версія для якої даний файл було розроблено. Або коли вказується неповна версія движка (про що я вже згадував).
Тобто реальна версія движка може бути вище тієї, що зазначена в цих файлах. Але це вже дозволяє виявити приблизну версію системи.
П'ятниця, 23:50 09.07.2010
про css та js було б дуже цікаво.
Субота, 09:41 10.07.2010
MustLive, згоден, неодноразово зустрічав і таке, але все ж воно значно полегшує роботу, та і не завжди там вказана не остання версія
Субота, 23:50 10.07.2010
Про це я вже писав раніше - в попередніх статтях цієї серії. В статті №3 я наводив подібні приклади (з css-файлами) для Mambo, а в статті №2 (з xml-файлами) для Joomla.
А js-файли з версіями також зустрічаються в різних движках (про них я в своїх записах не згадував, бо інших прикладів цілком достатньо, але такі випадки зустрічаються). Зокрема в вищезгаданому vBulletin. Так що можеш знайти сайт на відповідному движку, знайти на ньому відповідний файл і знайти в ньому версію движка .
Середа, 23:52 25.08.2010
Так, можливі різні варіанти. Але в мене на практиці, серед тих движків де я досліджував витоки версій (зокрема в тих, про які я писав в своїй серії записів про витоки версій систем), часто в різних додаткових файлах (js, css, xml) вказувалися або старі версії (до яких файли були розроблені), або неповні версії (1.x, замість 1.2.3), або взагалі версія не вказувалася (могла лише бути вказана назва движка). І лише іноді чітко вказувалася версія системи.
Це залежить від звичок розробників движків, а також скінів і плагінів до них. Але без сумніву, чи в основних місцях, де вказуються версії, чи в документації (в txt і html файлах), чи в додаткових файлах, але версію движка можна знайти. Було б бажання .