Ders 5.9: Güvenlik yanlış yapılandırması ve açıkta kalan sırlar
Her ihlal kodda bir hata gerektirmez. Çoğu zaman sunucu bazı şeyleri düpedüz dağıtır: parolalar içeren bir .env dosyası, kaynak kodu ve geçmişiyle bir .git klasörü, içinde yedek olan bir dizin listesi, bir phpinfo sayfası, açık bırakılmış hata ayıklama modu. 1.3 dersindeki tarayıcının yokladığı şeyler tam olarak bunlardı. Laboratuvarda mağazada hepsi var. Onları bir saldırganın yapacağı gibi indiriyor, hata ayıklama sayfasını kaldırıyor, nginx'in gizli dosyaları sunmasını ve klasörleri listelemesini durduruyor, sınıyor, yeniden yüklüyor ve kanıtlıyor ve açıkta kalmış her sırrın neden artık değiştirilmesi gerektiğini öğreniyorsun.
19 dk
Bu derste öğreneceklerin
- Yaygın yanlış yapılandırmaları tanımak: açıkta .env ve .git, dizin listeleme, hata ayıklama sayfaları
- Sızan bir sırrın neden değiştirilmesi gerektiğini açıklamak
- nginx'te gizli dosyaları ve listelemeyi engellemek
- Hata ayıklama ve test dosyalarını üretimden kaldırmak
- Bir döngüyle birkaç URL'yi aynı anda doğrulamak
Temel terimler
- Güvenlik yanlış yapılandırması
- Kod hatası yerine güvensiz bir ayar: açık bırakılmış varsayılanlar, gereksiz etkin özellikler, açıkta dosyalar, gösterilen hatalar.
- .env dosyası
- Yapılandırmayı ve sırları AD=değer satırları olarak tutan, birçok çatının başlangıçta okuduğu dosya.
- Web kökü
- Web sunucusunun dosyaları sunduğu klasör.
- Dizin listeleme
- Sunucunun, indeks sayfası olmayan bir klasörün dosyalarını göstermesi.
- Sır değiştirme (rotasyon)
- Bir parolayı, anahtarı ya da belirteci yenisiyle değiştirmek ve eskisini geçersiz kılmak.
← Kapanış: canlıya almadan önce bir sunucuyu sağlamlaştırmak · Tüm dersler · Kapanış: bir kriptografi sağlık kontrolü →