Versteckte Webseiten Schwachstelle

Question

Ich habe eine Anwendung geschrieben, die struts2 und Kacheln verwendet, die auf Tomcat 7 laufen. Der Kern der Impact-Schwachstellenüberprüfung kam mit "Versteckte Seiten Schwachstelle - Backup Webseiten" zurück und listet ungefähr 5 Links auf. Alle diese Links sollten für den Endbenutzer verfügbar sein, damit sie die Funktionalität verwenden können. Diese zeigen keine Dateien oder Verzeichnisse an. Aber gemäß der Firmenpolitik ?? Der Sicherheitsanfälligkeitsbericht sollte sauber sein, ohne dass etwas aufgelistet ist. Ich weiß nicht, worum es sich bei dieser Sicherheitsanfälligkeit handelt, da diese Links für Benutzer erforderlich sind. Kann mir jemand ein paar Hinweise geben?

Answer 1

Die Sicherheitslücke Versteckte/Backup-Seiten bezieht sich auf die Seiten in der Webanwendung, die nach dem vollständigen Durchsuchen der Webanwendung nicht erreichbar sind.

Versteckte Seite: Es könnte sich um eine Seite mit zusätzlichen Rechten handeln, die der Angreifer (möglicherweise der Entwickler) als Hintertür hinzugefügt hat. Da es nirgendwo auf der Website verlinkt ist, würde niemand sonst etwas darüber wissen (oder das erwartet der Angreifer)

Backupseite: Betrachten Sie zum Beispiel index.html viel mehr Informationen zum Debuggen während der Entwicklung Phase. Dann wird eine Kopie als index.bkp im selben Verzeichnis für zukünftige Tests gespeichert und zusätzlicher Code von index.html wird entfernt. Jetzt, obwohl index.bkp nicht direkt in der Website verlinkt ist, kann ein Angreifer solche Seiten erraten und sie missbrauchen ... Backup-Seiten können auch dazu führen, dass einige Editoren Zwischendateien speichern ...

Es ist daher erforderlich Stellen Sie sicher, dass alle nicht verwendeten Dateien aus dem Webcontainer entfernt werden. Wenn das Backup einer Seite erforderlich ist, muss es an einer anderen Stelle außerhalb des Webcontainers gespeichert werden.

Diese von einem Schwachstellenscanner erkannte Sicherheitslücke kann ein falsches Ergebnis sein, wenn eine Seite nur dann erreichbar ist, wenn bestimmte Kriterien erfüllt sind, die der Scanner nicht kennt oder nicht ausführen kann. Beispiel: Seiten, die durch CAPTCHA geschützt sind.

In solchen Fällen von False Positives müssen Sie beachten, dass der Schwachstellenscanner Ihre Seite nicht erreichen konnte und daher Ihr Scan unvollständig ist.

Um dieses Problem zu überwinden, kann der Benutzer die meisten der Scanner Bestimmung es zu helfen, die Website zu kriechen durch entsprechende Eingänge bieten ...