Ekspozycja plików wrażliwych

Ekspozycja plików wrażliwych to parametr monitoringu stron internetowych, który sprawdza, czy serwer WWW oddaje publicznie pliki pozostawione obok kodu strony: kopie pliku konfiguracyjnego wp-config.php z innym rozszerzeniem (wp-config.php.bak, wp-config.php~), dziennik błędów wp-content/debug.log oraz automatycznie wygenerowany spis zawartości katalogu. Pomiar kończy się jednym z trzech wyników: plik lub spis dostępny, niedostępny albo nie udało się uzyskać odpowiedzi. Przewodnik testowania OWASP zalicza stare kopie, pliki nieużywane i logi pozostawione w katalogach serwera do typowych źródeł wycieku informacji ^[1].

Jak działa

Kopie powstają na dwa sposoby. Część tworzą narzędzia: OWASP podaje przykład edytora emacs, który przy edycji pliku file zapisuje kopię file~ ^[1], a Vim trzyma zmiany w pliku wymiany o nazwie edytowanego pliku z rozszerzeniem .swp, na systemach uniksowych poprzedzonej kropką, w tym samym katalogu ^[5]. Resztę tworzą ludzie. MITRE opisuje kopie przemianowane automatycznie albo ręcznie przez administratora, np. na rozszerzenie .~bk, i pozostawione w katalogu dokumentów serwera ^[2]. Taki sam charakter ma kopia wp-config.php.bak zrobiona przed edycją lub przeniesieniem strony.

Plik wp-config.php leży w katalogu głównym instalacji WordPressa i zawiera dane połączenia z bazą (DB_NAME, DB_USER, DB_PASSWORD, DB_HOST) oraz unikalne klucze i sole uwierzytelniania ^[3]. Przy żądaniu tego pliku serwer przekazuje go interpreterowi PHP i odsyła wynik wykonania, a nie kod. Decyduje o tym dopasowanie nazwy: zalecana w dokumentacji PHP konfiguracja Apache kieruje do interpretera tylko pliki pasujące do wyrażenia \.php$ ^[4]. Nazwa wp-config.php.bak kończy się na .bak, więc wyrażenie jej nie obejmuje i serwer podaje plik jak każdy inny plik statyczny. OWASP opisuje ten sam mechanizm: żądanie viewdoc.bak może zwrócić kod źródłowy viewdoc.jsp ^[1].

RYS. 1.1Plik PHP i jego kopia

Dziennik błędów powstaje z ustawienia. Stała WP_DEBUG_LOG zapisuje wszystkie błędy do pliku debug.log, domyślnie w katalogu treści, zwykle wp-content/debug.log; można też podać inną ścieżkę ^[6]. Działa tylko przy włączonym WP_DEBUG ^[6]. Dokumentacja zaleca łączenie jej z WP_DEBUG_DISPLAY ustawionym na false, żeby błędy nie trafiały do HTML strony, lecz dało się je przejrzeć później ^[6].

Spis katalogu to funkcja serwera. W Apache opcja Indexes sprawia, że gdy adres wskazuje katalog bez pliku z listy DirectoryIndex, moduł mod_autoindex zwraca sformatowaną listę jego zawartości ^[7]. Domyślny plik konfiguracyjny Apache ustawia dla katalogu dokumentów Options Indexes FollowSymLinks ^[8]. W nginx spis tworzy moduł autoindex dla żądań zakończonych ukośnikiem, zwykle wtedy, gdy nie ma pliku indeksu; dyrektywa autoindex jest domyślnie wyłączona ^[9].

Standardy i specyfikacje

• OWASP WSTG-CONF-04 każe sprawdzać kopie plików i pliki bez odnośników, a spis katalogu nazywa najbardziej oczywistym sposobem, w jaki źle skonfigurowany serwer ujawnia takie pliki ^[1]. Zauważa też, że logi mogą zawierać identyfikatory sesji, parametry adresów i adresy nieujawnionych stron ^[1].
• CWE-530 („Exposure of Backup File to an Unauthorized Control Sphere”) to kopia zapasowa zapisana w katalogu lub archiwum dostępnym dla nieuprawnionych; jest potomkiem CWE-552, plików i katalogów dostępnych dla stron zewnętrznych ^[2]. Wśród obserwowanych przypadków MITRE wymienia wtyczkę WordPressa tworzącą przewidywalne nazwy kopii (CVE-2024-7315) ^[2].
• CWE-548 („Exposure of Information Through Directory Listing”) to udostępnienie spisu wszystkich zasobów katalogu; MITRE zaleca wyłączenie automatycznych spisów katalogów ^[10].

Zagrożenia i skutki

Dane dostępowe do bazy. Odczytana kopia wp-config.php daje nazwę bazy, użytkownika, hasło i adres serwera bazy oraz klucze i sole ^[3]. Kod źródłowy pobrany z kopii pozwala też szukać podatności, których nie widać przy żądaniach do wykonywanej strony ^[1].

RYS. 1.2Od kopii pliku do bazy danych

Treść dziennika. Log może ujawniać działania użytkowników, identyfikatory sesji i adresy, które nie są nigdzie podlinkowane ^[1]. Stała WP_DEBUG_LOG zapisuje wszystkie błędy, więc plik rośnie z każdym zapisanym błędem, dopóki ustawienie jest włączone ^[6].

Spis katalogu. MITRE wskazuje, że spis może dać dostęp do kodu źródłowego, ujawnić daty utworzenia plików i informacje zawarte w nazwach, przydatne przy planowaniu ataku ^[10]. Spis ujawnia też pliki, do których nie prowadzi żaden odnośnik, w tym kopie opisane wyżej ^[1].

Fałszywe trafienia. Odpowiedź 200 z własną stroną „nie znaleziono” wygląda w samym kodzie statusu jak istniejący plik ^[1]. O wycieku rozstrzyga treść odpowiedzi, a nie sam kod.

Przykłady

Sytuacja	Odpowiedź serwera	Znaczenie
GET /wp-config.php przy dopasowaniu \.php$ [4]	wynik wykonania skryptu	kod i hasła niewidoczne
Kopia wp-config.php.bak w katalogu instalacji [2] [4]	200 z tekstem pliku	dane bazy, klucze i sole do zmiany [3]
Kopia emacs wp-config.php~ [1]	200 z tekstem pliku	jak wyżej
Plik wymiany Vim .wp-config.php.swp [5]	zależy od reguł dla nazw z kropką	zawiera zmiany z sesji edycji
WP_DEBUG i WP_DEBUG_LOG włączone, bez własnej ścieżki [6]	200 z wierszami błędów pod wp-content/debug.log	ścieżki, sesje, adresy [1]
Apache z Options Indexes, katalog bez pliku indeksu [7] [8]	200 ze spisem plików	CWE-548 [10]
nginx z ustawieniami domyślnymi [9]	brak spisu	autoindex off