Schnellnavigation: Zum Seitenanfang springen | Zu den Posts springen | Zur Navigation springen
Dank der neuen Google Codesearch Beta wird Hackern derzeit die Arbeit wesentlich erleichtert, fremder Leute Blogs auseinander zu nehmen. Beispiel gefällig?
Einfach mal wp-config.php suchen lassen
Thanks to the new Google Codesearch Beta hackers have an easy job to exploit other people’s blogs. Example wanted?
Hinweis: Wegen des hohen Aufkommens an Kommentarspam und als Kommentar getarnten Werbelinks werden alle Kommentare auf diesem Blog zuerst in die Moderation geschickt. Ich schalte neue Kommentare von echten Besuchern so schnell wie möglich frei. Beleidigende oder gegen geltendes Recht verstoßende Kommentare werden gelöscht.
Schnellnavigation: Zum Seitenanfang springen | Zu den Posts springen | Zur Navigation springen
Schnellnavigation: Zum Seitenanfang springen | Zu den Posts springen | Zur Navigation springen
macosbrain meint
solche späße konnte man aber auch schon in google (ohne codesearch) hinbekommen.
z.b.
CountZero meint
um das mal deutlich so zu sagen: das war schon immer so - immerhin ist das www ursprünglich als kontaktplattform für wissenschaftler entstanden. der consumer-hype war in der form wohl nicht so geplant.
Walle meint
ah ok!
den 2. absatz hab ich auch so verstanden.
das problem ist meiner meinung nach, dass man immer mehr experte sein muss, um auch nur 3 schritte im internet zu überleben.
CountZero meint
@walle: kommt drauf an. in den meisten fällen kann man dann wohl davon ausgehen, daß der mysql-server auf derselben maschine läuft un implizit dann “localhost” verwendet wird, folglich bestehen dann gute aussichten, direkt über den hostnamen oder die ipadresse an port 3306 heranzukommen - denn nicht viele hostingprovider sind schlau genug ihre mysql-datenbanken ausschließlich für zugriffe aus dem eigenen intranet freizuschalten.
es ist hier in diesem fall zwar eindeutig kein sicherheitsloch in WordPress selbst, sondern es liegt vielmehr eine kombination aus “tot wegen saudoof” und schlechter serverconfig vor, als durchaus bedenklich stufe ich diese tolle neue suche von google trotzdem ein.
Walle meint
Naja, solange man bei “DB_HOST” nix eingetragen hat, ist man ja noch halbwegs sicher, dann ist doch zumindest die Datenbank unbekannt? Oder sehe ich dass falsch?
Viktor meint
und wer schreibt die armen Leute jetzt an und sagt denen, dass Ihre Passwörter im Netz sind ??
MrSnoop meint
Das Problem kommt wohl eher daher, dass die Leute ihre Konfigurationsdateien als *.zip etc. (also gepackt) auf dem Server liegen haben (bzw. auch in einer svn-Umgebung). Wenn Google nun diese Files durchsucht kann man natürlich auch direkt in die PHP-Dateien schauen. Der Webserver weiß ja nicht, welche Dateitypen sich innerhalb des Packets befinden.
Fazit: Wer so blöd ist seine Source-Dateien als ZIP etc. auf dem Server zu hinterlegen, arf sich nicht wundern, wenn diese Infos öffentlich werden. Und wenn man schon unbedingt ein BAckup auf dem Server haben will, dann in einem von außen nicht sichbaren Bereich, oder mit Passwort.
Pingbacks & Trackbacks