Web-администраторам может быть трудно следить за каждым файлом, однако взломы сервера часто являются результатом наименее заметных проблем кибербезопасности на их сайтах, и остаточные файлы являются одним из таких примеров.
Специалисты ресурса Cybernews проанализировали первые 35 тыс. web-сайтов из списка 1 млн лучших web-сайтов по версии сервиса Alexa и обнаружили, что на 82 самых популярных web-сайтах остаточные файлы были открыты для всех и доступны без авторизации.
«От оставленных без внимания историй баз данных и файлов DS_STORE до репозиториев GIT, даже один открытый элемент может подвергнуть миллионы, если не миллиарды, посетителей множеству потенциальных опасностей, включая утечки данных, фишинговые атаки, кражу личных данных и тому подобное», — пояснили эксперты.
Аудитория затронутых сайтов насчитывает 17 млн посещений в месяц. Перечень уязвимых ресурсов содержит сайты со всего мира, включая США, Россию, Японию, Китай, Германию, Францию, Нидерланды и другие страны.
Анализируя данные открытые файлы, злоумышленники могут собирать информацию о содержимом папок, хранящихся на web-серверах, и найти незащищенные файлы, содержащие конфиденциальные данные.
«Разработчики web-сайтов и приложений могут забыть удалить резервные копии, файлы среды приложения или файлы истории MySQL. Когда они остаются в общедоступных местах, злоумышленники используют их для обнаружения учетных данных, инфраструктуры картографического сервера, выполнения атак по сторонним каналам, внедрения вредоносных программ или заражения серверов программами-вымогателями. Используя современные передовые технологии, хакеры могут сканировать весь диапазон IPv4 в интернете менее чем за 5 минут», — пояснили эксперты.
Администраторам web-серверов рекомендуется проверять вводимые пользователями данные, обрабатывать исключения, использовать заголовки безопасности браузера, внедрять управление идентификацией и доступом, запускать автоматические продукты безопасности для выявления уязвимостей во время разработки, тестирования и развертывания и регулярное тестирование на проникновение.