Ekspozycja kopii zapasowych

Ekspozycja kopii zapasowych to parametr monitoringu stron internetowych, który sprawdza, czy pod przewidywalnymi adresami w katalogu głównym witryny, takimi jak /backup.zip i /backup.tar.gz, serwer oddaje archiwum kopii zapasowej. Pomiar kończy się jednym z trzech wyników: archiwum dostępne publicznie, archiwum niedostępne albo nie udało się uzyskać odpowiedzi. MITRE opisuje to zjawisko jako słabość CWE-530: plik kopii zapasowej przechowywany w katalogu lub archiwum, do którego mają dostęp nieuprawnione podmioty ^[1].

Jak działa

Kopia strony powstaje zwykle na tym samym serwerze, który stronę podaje. Wtyczka UpdraftPlus domyślnie zapisuje kopie na serwerze hostingu, w folderze wewnątrz katalogu wp-content, a jej dokumentacja zaleca przechowywanie ich poza serwerem ^[7]. Duplicator dzieli każdą kopię na dwa pliki: archiwum archive.zip albo archive.daf z bazą danych i plikami strony oraz skrypt installer.php ^[5]. Przy klasycznej instalacji oba pliki trafiają do katalogu głównego docelowej witryny, skąd instalator jest dostępny pod adresem w rodzaju https://domena/installer.php ^[5]. Po udanej migracji dokumentacja każe usunąć instalator i archiwum, bo ich pozostawienie jest ryzykiem ^[5]. Lista plików do usunięcia obejmuje archiwum z identyfikatorem w nazwie, leżące w katalogu z plikiem wp-config.php, a w starszych wersjach wtyczki także pliki .sql ze zrzutem bazy ^[6].

Skaner nie zna nazwy pliku, więc ją zgaduje. Przewodnik OWASP opisuje najprostszą postać tej metody jako przepuszczanie listy typowych nazw plików przez mechanizm wysyłający żądania, żeby odgadnąć istniejące pliki i katalogi ^[4]. Wśród plików pozostawionych na serwerze wymienia kopie tworzone ręcznie albo automatycznie w postaci skompresowanych archiwów ^[4]. Nazwa stała, taka jak backup.zip, jest łatwiejsza do odgadnięcia niż nazwa z losowym identyfikatorem.

Sam kod 200 nie dowodzi, że archiwum istnieje, bo serwer może pod dowolnym adresem podać stronę HTML. Rozstrzyga początek treści. Według specyfikacji ZIP firmy PKWARE nagłówek lokalny pliku zaczyna się od sygnatury 0x04034b50 ^[2], a pola są zapisywane w kolejności od najmłodszego bajtu ^[2], więc w pliku są to bajty 50 4B 03 04, czyli znaki PK i dwa bajty sterujące. Rekord końca katalogu centralnego ma sygnaturę 0x06054b50 ^[2]. Plik gzip według RFC 1952 składa się z serii członów, a każdy zaczyna się od stałych bajtów ID1 = 31 (0x1f) i ID2 = 139 (0x8b), które identyfikują format ^[3].

RYS. 1.1Kod 200 a prawdziwe archiwum

Pierwsza odpowiedź to strona błędu podana z kodem 200, druga zaczyna się sygnaturą ZIP, trzecia sygnaturą gzip. Odczyt sygnatury komplikuje kodowanie treści. Dyrektywa AddEncoding serwera Apache, np. AddEncoding x-gzip .gz, oznacza pliki o danym rozszerzeniu jako zakodowane i dopisuje kodowanie do nagłówka Content-Encoding ^[9]. Nagłówek ten mówi klientowi, że treść trzeba zdekodować, żeby dostać właściwy typ danych ^[9]. Klient, który rozpakowuje taką odpowiedź automatycznie, widzi już treść po dekompresji, bez bajtów 1F 8B na początku ^[9].

Standardy i specyfikacje

• PKWARE APPNOTE 6.3.10 opisuje strukturę ZIP: nagłówki lokalne z danymi plików, katalog centralny i rekord końca katalogu centralnego, każdy z własną sygnaturą ^[2].
• RFC 1952 definiuje format gzip: bajty identyfikujące ID1 i ID2, metodę kompresji CM = 8 (deflate) oraz pole FNAME z oryginalną nazwą pliku zakończoną bajtem zerowym ^[3].
• OWASP WSTG-CONF-04 zauważa, że kopie mogą ujawnić kod źródłowy stron wykonywanych na serwerze ^[4], a pliki bez odnośników mogą zawierać pliki dołączane z danymi dostępowymi do bazy ^[4]. Do zgadywania poleca własne listy z rozszerzeniami kopii, m.in. bak, old, orig, copy i tmp ^[4].
• CWE-530 w rozszerzonym opisie wskazuje stare kopie pozostawione w katalogu WWW pod zmienioną nazwą, z których da się pobrać kod źródłowy ^[1]. Jako zabezpieczenie podaje politykę organizacji zakazującą trzymania kopii kodu aplikacji w katalogu WWW ^[1]. Słabość jest potomkiem CWE-552, „Files or Directories Accessible to External Parties” ^[1].

Zagrożenia i skutki

Cała strona w jednym pliku. Archiwum Duplicatora zawiera bazę danych i pliki strony ^[5]. Wśród plików jest wp-config.php, który leży w katalogu głównym instalacji i przechowuje dane połączenia z bazą: nazwę bazy, użytkownika, hasło i host ^[8]. Zawiera też unikalne klucze i sole, którymi WordPress zabezpiecza sesje użytkowników ^[8]. Według CWE-530 kto pobierze kopię, ma wszystkie zapisane w niej informacje, od zapytań do bazy po strukturę serwisu ^[1].

Pozostawiony instalator. Dokumentacja Duplicatora ostrzega, że każdy, kto znajdzie adres instalatora, może go uruchomić ponownie ^[5]. Instalator i archiwum leżą obok siebie, więc znalezienie jednego ułatwia znalezienie drugiego.

RYS. 1.2Od archiwum do przejęcia

Usunięcie pliku nie cofa pobrania. Skasowanie archiwum zamyka dostęp do niego, ale nie odbiera kopii temu, kto już ją ściągnął. Dane z wp-config.php ^[8] trzeba wtedy traktować jak ujawnione.

Fałszywe trafienia. Serwer, który pod każdym adresem podaje stronę HTML z kodem 200, wygląda w samym kodzie odpowiedzi jak serwer z archiwum. Sygnatura ZIP ^[2] albo gzip ^[3] odróżnia plik od takiej strony.

Przykłady

Sytuacja	Co zobaczy sonda	Znaczenie
Archiwum ZIP po migracji w katalogu głównym [5]	200, treść od bajtów 50 4B 03 04 [2]	kopia do pobrania
Archiwum .tar.gz w katalogu głównym	200, treść od bajtów 1F 8B [3]	kopia do pobrania
Strona błędu podawana z kodem 200	200, dokument HTML	brak archiwum, fałszywy kod
Archiwum z losowym identyfikatorem w nazwie [6]	404 pod adresem /backup.zip	plik istnieje, ale nazwa jest nieprzewidywalna
Kopie wtyczki w podkatalogu wp-content [7]	404 pod adresem w katalogu głównym	lokalizacja poza zakresem sondy
Plik .gz z nagłówkiem Content-Encoding [9]	treść po dekompresji, bez 1F 8B	klient dekodujący automatycznie nie widzi sygnatury gzip