Sicherheitshinweis - Google Code Search
Montag, 9. Oktober 2006
Original: dev.joomla.org...
Wie uns bekannt wurde hat Google ein neues Produkt in Einsatz, Google Code Search, das in der Lage ist Dateien die sich in den öffentlichen Verzeichnissen des Webservers befinden zu indizieren, und zu scannen. Wir melden dies als einen Sicherheitshinweis weil wir herausfanden, dass einige Seitenbetreiber ihre Dateien / Backups ihrer Website im Wurzelverzeichnis speichern. Daher ist Google Code Search in der Lage diese Dateien zu scannen und nicht geparste (im Quellcode) php Dateien zu lesen als wären sie Text. Dies führte zur Preisgabe einiger sensibler Informationen inclusive des MySQL Passworts und der SMTP Daten.

Wir halten es für nötig einen allgemeinen Hinweis zu veröffentlichen, sowohl um die Seitenbetreiber zu warnen deren Sweiteb bereits gescannt wurden, als auch um unsere User zu schützen und dazu zu bewegen, einige "Best Practices" anzuwenden, um ihre Sites zu schützen.

  • 1. Speichern Sie niemals ein Backup oder archivierte Version Ihrer Website in öffentlich lesbaren Verzeichnissen Ihres Webservers.
  • 2. Lass Sie keine Dateien von denen Sie nicht wollen, dass sie öfffentlich gelesen/gesucht/heruntergeladen werden, im Wurzelverzeichnis.
  • 3. Wenn es unbedingt nötig ist, lass Sie von Ihrem Hoster die Generierung von Verzeichnisindexen deaktivieren.*
  • 4. Schützen Sie Verzeichnisse die sensible Informationen enthalten mit einem Passwort.

Sollten Sie denken das die Logindaten Ihrer Site auf diese Weise kompromitiert wurden, entfernen Sie bitte alle Backups / Dateien die sich im Wurzelverzeichnis befinden, ändern Sie alle im Zusammenhang stehenden Passworte, und falls nötig, bitten Sie Ihren Hosting Anbieter Ihre Site mit Hilfe eines der letzten Backups wiederherzustellen.

Falls sie mehr aktiven Schutz gegen das indizieren und herunterladen von Dateien wünschen, lesen Sie bitte diesen Thred im Joomla! Security Forum, indem eine Diskussion zum Thema wie Sie Sich gegen diese Art von Problemen schützen können statt.
Englisches Forum: forum.joomla.org/index.php/topic,101880.0.html
Deutsches Forum: www.joomlaportal.de/.../google-code-search.html

* Das Indizieren von Verzeichnissen ist eine Funktion von mod_dir, einem Apache Modul das eine Liste aller Datei in einem Verzeichnis erstellt, sofern keine index.html/php/etc im Verzeichnis zu finden ist. Auf diese Art werden wahrscheinlich die Dateien von der Googlesuche gefunden.