Fajls tal-backup fil-webroot: .zip, .sql u .bak

Fil-qosor: Fajls tal-backup fil-webroot, jiġifieri dumps tad-database (.sql), arkivji (.zip, .tar.gz) u kopji ta' sigurtà (.bak, .old, ~), jistgħu jitniżżlu minn kull min jaf jew jiddeduċi l-isem tal-fajl. Fittxu fajls bħal dawn regolarment b'find, ċaqilqu l-backups barra mid-direttorju pubbliku, ibblukkaw estensjonijiet tipiċi fis-server tal-web u ivverifikaw fil-protokolli tal-aċċess jekk diġà ġewx mitluba.

Il-backup li jsir tnixxija

Ftit qabel aġġornament xi ħadd joħloq backup malajr: backup.zip fid-direttorju prinċipali, maġenbu datenbank.sql. L-aġġornament jirnexxi, il-fajls jibqgħu hemm. Xhur wara għadhom hemm, bil-kodiċi kollu, id-data kollha tal-klijenti u d-dettalji tal-aċċess tal-websajt.

Dan il-mudell huwa fost is-sejbiet l-aktar frekwenti fil-verifiki ta' web servers. Ma jeħtieġx exploit u lanqas vulnerabbiltà f'PHP. Server tal-web jagħti mill-webroot dak li jinsab hemm, u arkivji jew fajls SQL ma jeżegwihomx, imma joffrihom għat-tniżżil.

Arkivju tal-websajt fih mhux biss data, imma wkoll il-kodiċi mal-konfigurazzjoni. Min iniżżlu jista' jfittex il-vulnerabbiltajiet bil-kalma u jaf id-dettalji tal-aċċess tad-database.

Scanners awtomatizzati jfittxu b'mod mirat ismijiet tipiċi bħal backup.zip, site.tar.gz jew dump.sql, spiss ikkombinati mal-isem tad-domain jew ma' data. Min jemmen li isem mhux tas-soltu jipproteġi, jissottovaluta kemm tfittxija bħal din taħdem b'mod sistematiku.

Liema fajls huma magħmula

Fajls tal-backup fil-webroot jidhru f'diversi forom:

Partikolarment delikati huma kopji ta' fajls ta' konfigurazzjoni. Il-fajl oriġinali config.php is-server jeżegwih, il-kontenut tiegħu jibqa' moħbi. Il-kopja config.php.bak jagħtiha bħala test, flimkien mal-password tad-database.

Sib il-backup fil-webroot: tfittxija fuq is-server

It-tfittxija li ġejja telenka fajls suspettużi taħt il-webroots b'data u daqs. Adattaw il-mogħdijiet għas-server tagħkom:

find /var/www /srv/www -type f \( \
  -iname '*.sql' -o -iname '*.sql.gz' -o -iname '*.dump' -o \
  -iname '*.zip' -o -iname '*.tar' -o -iname '*.tar.gz' -o -iname '*.tgz' -o \
  -iname '*.rar' -o -iname '*.7z' -o \
  -iname '*.bak' -o -iname '*.old' -o -iname '*.orig' -o -iname '*.save' -o \
  -iname '*~' -o -iname '*.swp' \) \
  -printf '%TY-%Tm-%Td  %10s  %p\n' 2>/dev/null | sort

Mhux kull hit huwa problema. Xi arkivji huma maħsuba apposta għat-tniżżil, pereżempju manwali. Kull fajl, madankollu, jistħoqqlu deċiżjoni konxja. Oqogħdu attenti partikolarment għal fajls kbar u għal folders ta' plugins tal-backup. B'shared hosting mingħajr aċċess għal shell tgħin il-ħarsa ġenerali tal-fajls fil-panel tal-hosting jew sejħa permezz ta' SFTP.

Il-fajl diġà ġie mniżżel?

It-tweġiba tinsab fil-protokolli tal-aċċess tas-server tal-web. Infittxu talbiet b'suċċess, jiġifieri status 200, għall-fajls misjuba:

# Talbiet b'suċċess ta' estensjonijiet tipiċi ta' backup (format Combined tal-log)
zgrep -hE '\.(sql|sql\.gz|zip|tar|tgz|gz|bak|old|7z|rar)[ ?]' /var/log/nginx/access.log* \
  | awk '$9 == 200 {print $4, $1, $7, $10}'

L-output juri l-ħin, l-indirizz, il-mogħdija u d-daqs tat-tweġiba. Jekk id-daqs trasferit jikkorrispondi għad-daqs tal-fajl, il-fajl ġie mgħobbi kollu. Kemm lura jilħqu l-protokolli jiddependi mir-rotazzjoni. Jekk ma jilħqux sad-data tal-ħolqien tal-fajl, talba preċedenti ma tistax tiġi eskluża. Dan jiddeskrivih fid-dettall Evalwa l-logs tas-server tal-web wara attakk. Mingħajr aċċess għall-protokolli mhux ipproċessati, pereżempju b'shared hosting, staqsu lill-hoster għall-protokolli għall-perjodu kkonċernat.

Jekk dump b'data personali ġie mitlub jew dan ma jistax jiġi eskluż, tibda l-verifika ta' obbligu ta' notifika. Il-bażijiet jiġbor Obbligu ta' notifika tal-GDPR: 72 siegħa wara l-inċident; il-valutazzjoni fil-każ individwali tappartjeni għand l-uffiċjal tal-protezzjoni tad-data tagħkom. Dettalji tal-aċċess minn fajls mitluba tibdluhom fi kwalunkwe każ.

Plugins tal-backup, panels u trasferimenti

Ħafna sejbiet jirriżultaw minn plugins tal-backup ta' CMS u ħwienet. Spiss iżommu backups f'sottofolder tal-webroot, parzjalment b'ismijiet minn data u domain li jistgħu jiġu ddeduċuti. Ivverifikaw f'kull plugin tliet issettjar: Fejn isir il-backup? Kopji lokali jitħassru wara l-upload lejn mira esterna? Il-folder lokali huwa protett kontra talba diretta?

Backups minn panels tal-hosting ġeneralment jinsabu barra mill-webroot, pereżempju fid-direttorju home. Isir problematiku meta xi ħadd jikkopja backup bħal dan fil-webroot, għax it-tniżżil fil-browser huwa aktar komdu minn SFTP. Għal trasferimenti għalhekk japplika: trasferiment permezz ta' SFTP jew direttament bejn is-servers, qatt permezz ta' link pubbliku.

Jekk aġenziji jew fornituri tas-servizzi jieħdu ħsieb il-websajts tagħkom, din ir-regola għandha tidher ukoll fil-kuntratt, flimkien mal-obbligu li jnaddfu wara xogħlijiet ta' manutenzjoni. Tagħrif jagħti Kuntratti ma' fornituri tal-IT: ittrattaw b'mod ċar l-obbligi ta' sigurtà.

Evita b'mod permanenti: post tal-ħażna u blokki

Biex il-problema ma terġax isseħħ, jeħtieġu żewġ livelli. L-ewwel huwa organizzattiv: il-backups għandhom post fiss barra mill-webroot u barra minn hekk barra mis-server. Kif jidher backup solidu jiddeskrivi l-gwida Backups skont ir-regola 3-2-1.

It-tieni livell huwa tekniku: is-server tal-web jirrifjuta estensjonijiet tipiċi ta' backup fil-prinċipju, anke jekk xi darba fajl jibqa' hemm.

location ~* \.(sql|sql\.gz|dump|bak|old|orig|save|swp|swo)$ {
    return 404;
}
location ~ ~$ {
    return 404;
}

Arkivji bħal .zip tibblokkawhom biss jekk il-websajt tagħkom ma toffrix downloads f'dan il-format, jew b'mod mirat fid-direttorji fejn m'hemmx downloads. Jgħinu wkoll tfittxija awtomatika regolari b'notifika u regola qasira fit-tim: l-ebda backup u kopja fil-webroot, anke mhux għal ħames minuti. Każijiet relatati bħal fajls moħbija ta' konfigurazzjoni jittratta Ipproteġi sewwa d-dettalji tal-aċċess u l-fajls .env.

Kif tgħin PHP SOS b'mod konkret?

• Infittxu fil-webroots tagħkom għal dumps, arkivji, kopji u backups ta' plugins u nevalwaw kull sejba.
• Nivverifikaw permezz tal-protokolli tal-aċċess jekk fajls ġewx mitluba u niddokumentaw ir-riżultat għall-valutazzjoni tal-protezzjoni tad-data tagħkom.
• Nistabbilixxu blokki fis-server tal-web u tfittxija awtomatika regolari.
• Ninżlu l-backups f'post protett barra mill-webroot.

Dawn ix-xogħlijiet huma parti mill-Hardening tas-server għal servers tal-web PHP tagħna.

Mistoqsijiet frekwenti

Sorsi

• OWASP Top 10
• GDPR Art. 33: notifika lill-awtorità superviżorja
• Dokumentazzjoni ta' Nginx