in 資訊安全

SITCON 2015 無法被定積分的中小學資安讀後感

SITCON 2015距離結束也有一段時間了,再把這個投影片翻出來,把裡面的一些訣竅試過之後,真的是發現了一些,不得了的東西,而且還是那種自己開漏洞,根本是拜託駭客來攻擊阿….

我們只要在Google搜尋上,打上: site: edu.tw filetype:sql, site: edu.tw filetype:csv以及 site:edu.tw filetype:xml,光是這樣就可以找到sql產生出來的備份檔,如果備份檔裡面有寫說明,說是使用phpMyAdmin所產生的,又多一個phpMyAdmin這種東西可以測試,另外csv檔還可以找到洩漏個資的檔案,身分證字號等等都輸出在瀏覽器上….。

之後我看完這篇之後,想到phpMyAdmin版本太舊有漏洞的風險,還發現還有架站用Appserv架之外,還把這個東西直接在網站上線,這真是太恐怖了,還有連Apache都沒有設定,整個目錄都被看光光….等到vulreport修好之後,該回報了,以下就來介紹幾個常見沒有做防護,而且有漏洞的風險的情形。

有directory traversal,Appserv架站上線,phpMyAdmin版本等風險,礙於洩漏,在這邊就不提供網址了,只講可以解決的方法。

directory traversal

等於讓人可以看到所有的檔案路徑,以及架站使用的作業系統,還有可以看到使用HTTP的port,可以讓人可以足跡偵查。解決的方式是可以使用Apache 的.htaccess做設定。

phpMyAdmin舊版本漏洞

phpMyAdmin是一個以PHP為基礎開發的MySQL圖形介面管理工具,好處是圖形管理方便,壞處是常常忘記更新版本,使用舊版本會導致有漏洞產生。此外也需要將MySQL權限設定好,以免phpMyAdmin以不用權限的方式開啟。

使用架站懶人包安裝

架站懶人包是在WINDOWS上大家會喜好架站的方式之一,好處是簡單,快速又方便,缺點是,若裡面的套件,(如phpMyAdmin沒更新的話),將會導致有風險存在。

另一個風險是,架站包萬一長時間未更新的話,將會有許多漏洞並無法做更新,像是在WINDOWS上的AppServ。這個非常的危險,必須要更新與避免使用此架站包架站。

結論

現今發生架站包AppServ與phpMyAdmin的漏洞是最多的,尤其是頻繁發生在學校,其中國高中小發生的比率最高,我認為是學校裡的資訊人員觀念不足,沒有加強外,還有重要的一點是,學的不精,加上學校還有課程需要備課,因此在這方面上會導致這樣的結果,如果要改善這樣的情形,除了學校舉辦相關課程加強訓練之外,剩下就是看老師有沒有時間與良心了……

延伸閱讀:Apache設定