Витік інформації про версію системи №5

22:41 08.07.2010

Продовжу тему витоку інформації про версію системи. Як я зазначав, виведення версії системи - це поширена функція у веб додатках та веб системах. Багато різних движків виводять інформацію про версію системи і дана можливість движків є уразливістю. Це витік інформації (Information Leakage) про версію системи, що може бути використаний для атаки на сайти, що використовують даний движок.

Наведу нові приклади Information Leakage уразливостей в різних веб додатках (зокрема форумах), що приводять до витоку інформації про версію системи.

IPB

В IPB на кожній сторінці форуму виводиться версія системи (Powered by Invision Power Board v1.3).

phpBB

В phpBB версію системи можна дізнатися в файлах http://site/docs/CHANGELOG.html, http://site/docs/INSTALL.html та http://site/docs/README.html (phpBB 2.0.13).

vBulletin

В vBulletin на кожній сторінці форуму виводиться версія системи (Powered by vBulletin Version 3.8.2).

SMF

В SMF на кожній сторінці форуму виводиться версія системи (Powered by SMF 1.1.11).

YaBB

В YaBB на кожній сторінці форуму виводиться версія системи (Powered by YaBB 2.4).


8 відповідей на “Витік інформації про версію системи №5”

  1. spayder каже:

    по форумам в загалом ії ставлять хибну.

  2. Dementor каже:

    Далеко не завжди, не всі звертають увагу на версію, дехто взагалі не знає, чим це може може загрожувати. дехто на тому ж vbulletin прибере з головної сторінки, але на внутрішніх, як наприклад archive чи site.com/forum/clientscript/*.js залишить, бо не бачить/не знає, що воно там є.

  3. MustLive каже:

    spayder

    Вказання невірної версії движка (для дезінформації) - це один з методів захисту. І він нерідко використовується в Інтернеті (деякими адмінами, що намагаються захистити движки їхніх сайтів).

    Стосовно форумів. Не звертав увагу хибну, чи ні ставлять, але звертав увагу, що її часто тримають (а в адмінів питати, чи хибна версія я не стану). Так що в більшості випадків, що на форумах, що в інших движках люди не прибирають версію. Бо не розуміють ризиків та не бачать жодних проблем з цим.

    І як влучно зауважив Dementor, ті хто прибирає версії движків, нерідко забувають прибрати у всіх місцях (сам з таким часто стикався). Тому в даній своїй серії статей я намагаюся наводити різні місця на сайті, де може бути вказана версія движка.

  4. MustLive каже:

    site.com/forum/clientscript/*.js

    Dementor

    Так, в js-скриптах деяких движків також буває вказується версія. А також в css та інших файлах, як я вже писав раніше. Іноді в js, css та інших додаткових файлах движка, в тому числі й в readme (наприклад в файлах скіна чи плагіна) може вказуватися не поточна версія, а версія для якої даний файл було розроблено. Або коли вказується неповна версія движка (про що я вже згадував).

    Тобто реальна версія движка може бути вище тієї, що зазначена в цих файлах. Але це вже дозволяє виявити приблизну версію системи.

  5. spayder каже:

    про css та js було б дуже цікаво.

  6. Dementor каже:

    MustLive, згоден, неодноразово зустрічав і таке, але все ж воно значно полегшує роботу, та і не завжди там вказана не остання версія :)

  7. MustLive каже:

    про css та js було б дуже цікаво.

    Про це я вже писав раніше - в попередніх статтях цієї серії. В статті №3 я наводив подібні приклади (з css-файлами) для Mambo, а в статті №2 (з xml-файлами) для Joomla.

    А js-файли з версіями також зустрічаються в різних движках (про них я в своїх записах не згадував, бо інших прикладів цілком достатньо, але такі випадки зустрічаються). Зокрема в вищезгаданому vBulletin. Так що можеш знайти сайт на відповідному движку, знайти на ньому відповідний файл і знайти в ньому версію движка ;-) .

  8. MustLive каже:

    та і не завжди там вказана не остання версія

    Так, можливі різні варіанти. Але в мене на практиці, серед тих движків де я досліджував витоки версій (зокрема в тих, про які я писав в своїй серії записів про витоки версій систем), часто в різних додаткових файлах (js, css, xml) вказувалися або старі версії (до яких файли були розроблені), або неповні версії (1.x, замість 1.2.3), або взагалі версія не вказувалася (могла лише бути вказана назва движка). І лише іноді чітко вказувалася версія системи.

    Це залежить від звичок розробників движків, а також скінів і плагінів до них. Але без сумніву, чи в основних місцях, де вказуються версії, чи в документації (в txt і html файлах), чи в додаткових файлах, але версію движка можна знайти. Було б бажання :-) .

Leave a Reply

You must be logged in to post a comment.