Ekspozycja zrzutu bazy

Ekspozycja zrzutu bazy to parametr monitoringu stron internetowych, który sprawdza, czy pod przewidywalnymi adresami w katalogu głównym witryny, takimi jak /backup.sql, /dump.sql i /database.sql, serwer oddaje tekstowy zrzut bazy danych. Pomiar kończy się jednym z trzech wyników: zrzut dostępny publicznie, zrzut niedostępny albo nie udało się uzyskać odpowiedzi. Zrzut jest kopią zapasową, więc jego publiczne udostępnienie mieści się w słabości CWE-530: plik kopii przechowywany w miejscu dostępnym dla nieuprawnionych podmiotów ^[10].

Jak działa

Program mysqldump wykonuje kopie logiczne: tworzy zestaw instrukcji SQL, które po wykonaniu odtwarzają definicje obiektów bazy i dane tabel ^[1]. Służy do kopii zapasowych i do przenoszenia baz na inny serwer SQL ^[1]. Domyślny wynik zawiera instrukcje CREATE TABLE, które odtwarzają każdą tabelę, oraz instrukcje INSERT z danymi ^[1]. Opcja --add-drop-table, włączona domyślnie, dopisuje DROP TABLE przed każdym CREATE TABLE ^[1], a --add-locks otacza zrzut tabeli instrukcjami LOCK TABLES i UNLOCK TABLES ^[1]. Włączona domyślnie opcja --comments dopisuje na początku pliku komentarze z wersją programu, wersją serwera i nazwą hosta ^[1]. Opcja --compact wyłącza między innymi komentarze i instrukcje DROP TABLE ^[1].

Taki plik jest zwykłym tekstem. Gdy leży w katalogu, z którego serwer WWW podaje pliki, jest kopią zapasową dostępną dla każdego, kto zna jej adres ^[10].

Po kodzie 200 zrzutu nie da się rozpoznać, bo pod dowolnym adresem może stać strona błędu. Rozpoznanie opiera się na dwóch cechach treści. Strona błędu zaczyna się od znaczników HTML, np. <!doctype html>, a zrzut od komentarza albo instrukcji SQL. W dalszej części zrzutu występują słowa kluczowe instrukcji wymienionych w dokumentacji: CREATE TABLE, INSERT, DROP TABLE, LOCK TABLES ^[1]. Znaczniki HTML w środku pliku nie przesądzają, bo tabela wp_posts przechowuje wpisy i strony witryny ^[2], a ich treść zawiera kod HTML.

RYS. 1.1Rozpoznanie zrzutu po treści

Pierwsza odpowiedź to strona HTML z kodem 200, więc nie jest zrzutem. Druga oznacza brak pliku. Trzecia zaczyna się komentarzem i zawiera instrukcję CREATE TABLE, czyli ma cechy zrzutu.

Standardy i specyfikacje

• Dokumentacja mysqldump (MySQL 8.4) opisuje format zrzutu: instrukcje SQL, domyślne komentarze nagłówkowe i opcje dopisujące DROP TABLE oraz LOCK TABLES ^[1].
• Baza WordPressa. Każda tabela ma ten sam prefiks zdefiniowany w wp-config.php, domyślnie wp_ ^[2]. Tabela wp_users przechowuje informacje o użytkownikach witryny, po jednym wierszu na użytkownika ^[2], a wp_options ustawienia witryny ^[2]. Tabela wp_comments zawiera komentarze do wpisów i stron ^[2]. Wśród danych użytkownika są login, adres e-mail i nazwa wyświetlana ^[3].
• Hasła w wp_users. Funkcja wp_set_password zapisuje do kolumny user_pass tabeli użytkowników skrót hasła, nie samo hasło ^[4]. Od wersji 6.8 WordPress zamiast przenośnego skrótu phpass używa bcrypt, co znacznie zwiększa koszt łamania skrótów ^[5]. Nowe skróty mają prefiks $wp$2y$, a stare są przeliczane na bcrypt przy najbliższym logowaniu albo zmianie hasła ^[5].
• CWE-530 w opisie skutków stwierdza, że kto pobierze plik kopii, ma wszystkie zapisane w nim informacje ^[10].
• RODO. Według UODO zgłoszenie naruszenia do organu nadzorczego na podstawie art. 33 ust. 1 RODO powinno nastąpić nie później niż 72 godziny od jego stwierdzenia ^[8]. Rządowy serwis Biznes.gov.pl zalicza do naruszeń nieuprawnione ujawnienie danych osobowych i nieuprawniony dostęp do nich ^[9].

Zagrożenia i skutki

Łamanie skrótów offline. OWASP wymaga, żeby hasła były chronione także wtedy, gdy baza danych zostanie przejęta ^[6]. Atakujący, który ma skróty, sprawdza dla nich długą listę kandydatów na hasło ^[6]. Przy szybkim sprzęcie i chmurze koszt takiego łamania jest stosunkowo niski ^[6]. Silne hasła zapisane nowoczesnym algorytmem powinny być w praktyce niemożliwe do złamania ^[6], więc najbardziej narażone są hasła słabe i skróty w starym formacie, jeszcze nieprzeliczone na bcrypt ^[5].

Kradzież kont poza witryną. Pary login i hasło z wycieku jednej witryny służą do ataku credential stuffing, czyli sprawdzania ich w innych serwisach ^[7].

RYS. 1.2Od zrzutu do zgłoszenia

Obowiązek zgłoszenia. Publicznie dostępny zrzut z danymi użytkowników może oznaczać nieuprawnione ujawnienie danych osobowych albo nieuprawniony dostęp do nich ^[9]. Termin 72 godzin liczy się od stwierdzenia naruszenia ^[8]. Administrator nie musi zgłaszać naruszenia, jeśli po jego odkryciu oceni ryzyko dla praw i wolności osób jako małe ^[9]. Gdy ryzyko jest wysokie, trzeba też zawiadomić osoby, których dane dotyczą, zgodnie z art. 34 RODO ^[8].

Przykłady

Sytuacja	Co zobaczy sonda	Znaczenie
Zrzut mysqldump z domyślnymi opcjami [1]	200, komentarze z wersją serwera, potem DROP TABLE i CREATE TABLE	zrzut dostępny publicznie
Zrzut z opcją --compact [1]	200, bez komentarzy, od razu instrukcje SQL	zrzut dostępny publicznie
Strona błędu podawana z kodem 200	200, treść od <!doctype html>	brak zrzutu
Zrzut z treścią wpisów zawierającą HTML [2]	znaczniki HTML w środku pliku, początek od komentarza SQL	nadal zrzut
Baza sprzed WordPressa 6.8 bez ponownych logowań [5]	skróty phpass w user_pass	skróty łatwiejsze do złamania
Zrzut z danymi klientów sklepu lub autorów komentarzy [9]	adresy e-mail i dane osobowe w INSERT	ocena ryzyka i ewentualne zgłoszenie w 72 h [8]