اسکن نشت اطلاعات

گاهی فایل‌هایی که هرگز نباید عمومی باشند، اشتباهی از اینترنت قابل دانلود می‌شوند؛ مثل فایل تنظیمات .env که رمز دیتابیس در آن است، یا نسخه‌ی پشتیبان دیتابیس که بعد از انتقال سرور جا مانده است. بررسی نشت اطلاعات هر ۱۲ ساعت دنبال این فایل‌ها می‌گردد.

چطور کار می‌کند؟#

wardex فهرستی از مسیرهای حساس شناخته‌شده را با درخواست ساده‌ی GET امتحان می‌کند. این درخواست‌ها فقط می‌خوانند و هیچ تغییری روی سایت نمی‌دهند. اگر سرور با کد 200 پاسخ دهد و محتوا هم تأیید کند که فایل واقعی است (مثلاً .git/config واقعاً با [core] شروع شود)، یافته ثبت می‌شود. این تأیید محتوا جلوی هشدار کاذب را در سایت‌هایی می‌گیرد که برای هر آدرسی صفحه‌ی اصلی را برمی‌گردانند.

اسکن نشت اطلاعات · shop.example.ir

• GET/.env404امن
• GET/.git/config200در دسترس · بحرانی
• GET/backup.sql404امن
• GET/phpinfo.php404امن
• GET/server-status403امن
• GET/composer.json404امن

مسیرهایی که بررسی می‌شوند#

وضعیت بررسی: اگر حتی یک یافته‌ی بحرانی باشد «قطع»، اگر فقط یافته‌ی زیاد یا متوسط باشد «افت»، و اگر هیچ یافته‌ای نباشد «سالم».

اگر یافته‌ای گزارش شد#

1. ۱

   فایل را از پوشه‌ی عمومی سایت بردارید

   فایل‌های پشتیبان و تنظیمات نباید داخل پوشه‌ای باشند که وب‌سرور منتشر می‌کند (public_html، www یا public).

2. ۲

   دسترسی به فایل‌های مخفی را ببندید

   NginxApache

   Nginxکپی

   location ~ /\.(env|git|svn) { deny all; return 404; }
   autoindex off;
   

3. ۳

   رمزها و کلیدها را عوض کنید

   هر مقداری را که در فایل نشت‌کرده بوده، باطل و دوباره صادر کنید.

4. ۴

   بررسی را دوباره ببینید

   در اجرای بعدی، مسیر باید 404 یا 403 برگرداند و بررسی «سالم» شود. رخداد باز هم خودکار بسته می‌شود.