信息泄露之配置不当

目录

信息泄露之配置不当

一、配置不当的分类

二、各类配置不当引发的危害

三、配置不当导致的漏洞定级

四、配置不当的防范措施

（一）业务上线前

（二）对线上业务

（三）其他措施

五、相关工具和方法

---

在网络安全领域，信息泄露是一个严重的问题，它涉及范围广泛且破坏力巨大，给企业带来了诸多担忧和苦恼。本文将重点探讨由于配置不当导致的信息泄露相关内容，包括分类、危害、定级以及防范措施等，并结合实际案例进行说明。

一、配置不当的分类

配置不当的分类方式多样，一般根据发生场景大致可分为以下几类：

1. webserver 本身
   • 例如之前发生的 nginx 等解析漏洞，以及 webserver 的目录遍历等问题。以 nginx 为例，当配置出现问题时，可能会导致文件解析异常。比如经典的nginx + php cgi配置，当cgi.fix_pathinfo = 1时，会存在文件解析问题。如下代码所示：

# 假设这是一个模拟访问的脚本
import requests

url = "http://www.oxen.com/evil.jpg/test.php"
response = requests.get(url)
# 这里会根据服务器配置进行文件解析，可能导致安全问题
print(response.text)

1. 网络协议相关
   • 包括snmp弱community、dns域传送、ssh等方面的配置不当。例如，snmp如果使用弱社区字符串，攻击者可能会获取到网络设备的相关信息。
2. 应用相关
   • 涵盖压缩文件、备份文件，以及其他如日志history、phpinfo等，还有zabbix、jenkins、phpmyadmin、hadoop等应用的配置问题。例如，phpinfo如果没有正确配置权限，可能会泄露服务器的相关信息，如 PHP 版本、服务器模块信息等。
3. 系统相关
   • 像之前暴露的openssl心脏滴血、破壳等系统层面的配置漏洞。这些漏洞可能会导致系统的安全性受到严重威胁。

二、各类配置不当引发的危害

这些因为配置不当引发的问题都可能导致严重后果，但其危害程度可能需要根据具体的业务场景来判断。例如：

1. webshell 相关
   • 一般来说webshell算是很严重的情况。攻击者获取webshell后，可以对服务器进行各种恶意操作，如篡改文件、窃取数据等。
2. 代码泄露相关
   • 像svn、git信息泄露可导致代码泄露，从而可以进行白盒代码审计。一旦代码存在漏洞，很容易被挖掘出来。例如，如果代码库的访问权限没有正确配置，可能会导致代码被恶意获取。

三、配置不当导致的漏洞定级

漏洞定级需要根据业务和场景进行定义，主要看漏洞对业务的影响。例如，对于一些可能导致webshell获取的漏洞，通常会被定为较高风险级别；而对于一些只泄露部分非关键信息的漏洞，可能会被定为较低风险级别。

四、配置不当的防范措施

（一）业务上线前

1. 进行安全基线检查。例如，在开发阶段，会制定公司的安全配置基线要求及安全配置关注点。可以通过安全教育培训来提高开发人员（OP 等）的安全意识，甚至可以通过安全知识小卡片进行宣传。
2. 根据安全配置基线产生公司默认配置模板，所有预上线阶段全部默认使用配置模板。当模板满足不了需求时，可以根据配置模板进行相应更改，但是上线之前需要通过安全基线工具check。

（二）对线上业务

1. 进行定时检查。通过主机agent进行监控，一旦监控到关心的配置文件（比如 webserver 配置文件）有更改，立刻通过agent进行相应check，看是否违背了安全配置基线。若违背了，则给出默认整改时间；如果负责人在规定的整改时间以内未修改，工具自动按照安全要求将不规范点修改回来。
2. 对攻击行为进行监控。主要是通过海量日志的分析，从中抓取特征进行预警。日志分析依托于soc系统，soc系统在对抗黄牛党、羊毛党等方面也起着重要作用。此外，在生产服务器上也有webshell实时监测等。

（三）其他措施

对于其他信息泄露问题，主要是采用自检或者通过src白帽子提交的漏洞来发现，发现之后走修复流程。

五、相关工具和方法

1. 检测工具
   • 最近看到一个开源工具https://github.com/ywolf/F - MiddlewareScan，它可以检测一些常见的配置不当问题以及其他已知漏洞（如jboss的各种webshell漏洞、redis任意文件读取等）。目前模块还是比较少，大家可以自己开发插件加入。
2. 监控方法
   • 以webserver目录监控为例，如果研发人员在上迭代版本的时候可能考虑回滚方便，然后在目录中打了个back，导致外部可以打包拿走。这种情况可以在两个点check，一是代码上线流程中，二是线上针对webserver目录的监控进行。

希望通过对配置不当导致信息泄露的这些介绍，能让企业和开发人员更加重视网络安全配置问题，采取有效的防范措施，减少信息泄露的风险。