ARK. 1Słownik pojęćPodatności i klasy błędów
publicznie dostępne pliki wrażliwe
Pliki, które nie powinny być osiągalne z przeglądarki, a leżą w katalogu strony: zrzuty bazy (.sql), archiwa kopii (backup.zip), pliki konfiguracyjne (.env, wp-config.php.bak), katalog .git. Boty skanują takie ścieżki masowo, a jedno pobranie daje hasła do bazy lub cały kod źródłowy.
TAB. 1Nazwapo polsku
| Po angielsku | sensitive file exposure (.sql dumps, .env, .git) |
|---|---|
| Po polsku | publicznie dostępne pliki wrażliwe |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | publicznie dostępna kopia bazy danych · wystawione repozytorium .git · ukryte katalogi i pliki · pozostawiony katalog .git · sensitive file exposure |
| Odmiana | pliki (lm., r.m.): plików wrażliwych; „publicznie dostępny plik z backupem” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | Sekurak: „pozostawiony katalog .git lub .svn”, „Publicznie dostępny plik (4TB) z backupem bazy danych”; niebezpiecznik: „wystawione na świat repozytorium kodu”, kopia „do pliku backup.zip zlokalizowanego w głównym katalogu witryny”. |
|---|
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „W skrajnych sytuacjach, takich jak pozostawiony katalog .git lub .svn, pozwalają na dostęp do kodu źródłowego aplikacji” | sekurak.pl |
| PL | „Publicznie dostępny plik (4TB) z backupem bazy danych firmy EY” | sekurak.pl |
| PL | „Podobnie stanie się, gdy operator zapisze kopię bezpieczeństwa do pliku backup.zip zlokalizowanego w głównym katalogu witryny.” | niebezpiecznik.pl |
TAB. 4Obok w tej dziedzinie6
| podatność | vulnerability | Błąd lub słabość w kodzie, konfiguracji albo projekcie systemu, którą atakujący może wykorzystać do działania niezgodnego z zamierzeniem twórcy — na przykład odczytu cudzych danych, podniesienia uprawnień lub przejęcia kontroli nad systemem. |
| podatność wykorzystywana bez uwierzytelnienia | unauthenticated vulnerability | Luka, którą można wykorzystać bez posiadania konta i bez zalogowania się, przez co jest znacznie groźniejsza od luk wymagających uprawnień (opisywanych w skali Wordfence jako subscriber+ czy admin+). |
| prototype pollution | prototype pollution | Podatność specyficzna dla JavaScriptu: atakujący dopisuje właściwości do wspólnego prototypu obiektów (np. przez klucz __proto__ w scalanym JSON-ie), przez co zmienia zachowanie całej aplikacji — po stronie przeglądarki zwykle prowadzi do DOM XSS, w Node.js nawet do RCE. W WordPressie dotyczyła dołączanego jQuery: jQuery.extend() przed wersją 3.4.0 był podatny (CVE-2019-11358). |
| race condition | race condition | Błąd wynikający z nieprawidłowej synchronizacji operacji wykonywanych równocześnie na współdzielonym zasobie — wynik zależy wtedy od kolejności zdarzeń. Szczególnym, najczęściej wykorzystywanym w atakach przypadkiem jest TOCTOU, gdy stan jest sprawdzany w innym momencie niż używany, co pozwala np. wielokrotnie zrealizować jednorazowy kupon. |
| Reflected XSS | reflected XSS | Odmiana XSS, w której skrypt przekazany w żądaniu (najczęściej w adresie URL) jest natychmiast odsyłany w odpowiedzi i wykonuje się tylko u ofiary, która kliknęła spreparowany link. |
| RFI (Remote File Inclusion) | remote file inclusion (RFI) | Podatność, w której aplikacja PHP dołącza przez include/require plik wskazany przez atakującego z zewnętrznego serwera i wykonuje go jak własny kod. Wymaga zwykle włączonej dyrektywy allow_url_include; w WordPressie zdarza się w porzuconych wtyczkach — np. Canto < 3.0.5 przez parametr wp_abspath. |