Podatności strony. Jak je znaleźć i usunąć?

Doświadczenie tysięcy firm pokazuje, że podatność strony na włamanie i kradzież informacji staje się coraz większym ryzykiem dla biznesu. Na działaniach hakerów cierpią i finanse firmy, i jej reputacja. 

Nikt nie jest ubezpieczony od pojawienia się słabych punktów, czyli podatności. Ważne, żeby regularnie ich szukać i szybko je usuwać. O tym, jak to zrobić, opowiemy w artykule. 

Czym są podatności strony i jakie bywają?

Hakerzy wykorzystują wady i słabe punkty CMS-a do wykradania cennych informacji

W IT podatnościami strony nazywa się wady i słabe punkty w CMS-ie oraz w kodzie strony, które hakerzy mogą wykorzystać do włamania, kradzieży danych osobowych i innych cennych informacji.

Podatności pojawiają się przez błędy na etapie projektowania systemu i programowania. Przyczyną bywają też słabe hasła, działanie wirusów i złośliwego oprogramowania, a także wstrzyknięcia SQL. 

Podatne na włamanie mogą być: 

• strony internetowe;
• aplikacje mobilne;
• oprogramowanie na komputery;
• usługi online. 

Warto wiedzieć, jak szukać podatności na stronach, również za pomocą narzędzi programowych. Im szybciej znajdziesz słabe punkty, tym mniejsze ryzyko i tym szybciej da się je naprawić. 

Mnożenie narzędzi ochrony wcale nie zawsze podnosi poziom bezpieczeństwa zasobu. Ważniejsze jest, aby dobrze dobrać skaner podatności strony, na czas aktualizować CMS-a i wtyczki oraz zdobyć certyfikat SSL dla strony. 

Ciekawostka! Badanie Positive Technologies pokazało, że najbezpieczniejsze strony są napisane w Javie i działają na komercyjnych CMS-ach. Choć i zasobom napisanym w PHP można zapewnić solidną ochronę. 

Najczęstsze podatności 

Istnieje bardzo wiele różnych podatności stron

Podatności jest bardzo dużo i omówienie każdej dałoby wielotomowe dzieło, dlatego tutaj krótko przejdziemy przez te, które spotyka się najczęściej. 

Podatność SQL 

Każda strona ma bazę danych. Przechowuje się w niej informacje o stronie albo o jej użytkownikach. Mogą tam być dane osobowe, na przykład numery telefonów, e-maile i tym podobne. 

Jeśli strona lub usługa nie potrafi poprawnie i bezpiecznie obsłużyć zapytania, napastnicy, wpisując specjalne komendy, mogą uzyskać dostęp do bazy. A przez nią możliwy jest dostęp do całej strony. 

Istnieje wiele programowych skanerów podatności dla stron. Są też sposoby, żeby sprawdzić stronę pod kątem podatności SQL ręcznie. Ale zabierają dużo czasu. 

Słabe punkty uwierzytelniania i obsługi sesji 

Weryfikacja uwierzytelnienia nie zawsze przebiega poprawnie i bezpiecznie. W efekcie napastnicy mogą zdobyć tokeny (identyfikatory) dostępu i korzystać z nich przez jakiś czas albo nawet stale. 

Taką podatność znajdzie wyłącznie specjalista albo skaner stron. 

Podatność XSS

Podatności XSS pod wieloma względami przypominają wstrzyknięcia. Główna różnica polega na tym, że XSS nie dotyka serwera ani bazy danych. Podatność jest charakterystyczna dla stron opartych na JavaScripcie. Napastnicy przekazują w jednym z pól złośliwy kod. 

Przeglądarka odbiera ten kod jako przekazany przez stronę i wykonuje go. W efekcie napastnicy mogą uzyskać dostęp do loginów i haseł użytkowników strony, a stamtąd już tylko krok do reszty danych osobowych. W podobny sposób często kradnie się też dane finansowe. 

Host4Biz udostępnia użytkownikom skaner podatności, który pomoże sprawdzić strony, także pod kątem XSS. 

Źle ustawiona kontrola dostępu

To bardzo częsty błąd webdeweloperów i administratorów systemów. Problem dotyczy nawet popularnych i względnie solidnych silników. 

Przykład takiej podatności: plik wp-config.php zawiera hasła dostępu do bazy danych. Jest zamknięty dzięki swojemu rozszerzeniu php. Ale edycja w Vimie i następnie nieprawidłowy zapis tworzy kopię zapasową w formacie swp. Taką kopię łatwo otworzyć w przeglądarce i edytować.

Również w kodzie strony mogą być błędy, przez które niezarejestrowani użytkownicy uzyskują dostęp do tajnych informacji. 

Błędy konfiguracji 

Żeby aplikacja webowa była bezpieczna, trzeba prawidłowo skonfigurować serwer i ustawienia na poziomie frameworka. Poza tym konieczne jest regularne aktualizowanie oprogramowania oraz monitorowanie stanu i ustawień bezpieczeństwa na serwerze. 

Informacje poufne bez ochrony

Aplikacje, strony i API często nie mają ochrony danych osobowych użytkowników. Nierzadko są one faktycznie dostępne publicznie. Zagrożone są tokeny, hasła, dane kontaktowe, finansowe, a czasem nawet medyczne. 

Do ochrony informacji poufnych trzeba stosować szyfrowanie https i inne metody. 

Słabe mechanizmy przeciwdziałania atakom 

To bardzo źle, gdy strony, usługi i API nie mają mechanizmów reagowania na ataki i ochrony przed nimi. Do ochrony nie wystarczy samo sprawdzanie zgodności loginu i hasła. 

Drugi aspekt: CMS albo framework musi dawać możliwość szybkiego 

wdrażania aktualizacji, które poprawiają ochronę. 

Podatności CSRF 

Istota takich podatności polega na tym, że napastnik może wysłać z przeglądarki żądanie HTTP, ciasteczka lub inne dane. Trafiają one do słabo zabezpieczonej aplikacji. 

Oszuści mogą wysyłać żądania z przeglądarki użytkownika. Aplikacje uznają takie żądania za poprawne i bezpieczne. 

Po wejściu na stronę z CSRF Twoi znajomi mogą dostawać wysyłkę reklamową, o której nawet nie wiesz. 

Używanie podatnych komponentów 

W komponentach do CMS-ów i API mogą być backdoory — podatności pozwalające na ukryte wejście i wykradanie danych. Prosty przykład to wtyczki do WordPressa. Nie instaluj złamanych wersji premium. Korzystaj wyłącznie z bezpłatnych albo licencjonowanych wersji premium. 

API bez ochrony 

Współczesne aplikacje składają się z aplikacji klienckich i rozmaitych interfejsów API dostępnych przez JavaScript. Działają na różnych protokołach i często zawierają błędy, które czynią je podatnymi. Takie błędy znajdzie jedynie specjalne narzędzie albo specjalista od cyberbezpieczeństwa.

Audyty stron jako profilaktyka włamań 

Aby zapobiegać włamaniom, trzeba przeprowadzać audyty bezpieczeństwa strony

Specjaliści od bezpieczeństwa mogą zapobiec włamaniu, prowadząc audyty według specjalnych metodyk. Sprawdzenie obejmuje testy pod kątem wszystkich rodzajów podatności. Faktycznie specjalista przeprowadza kontrolowane ataki na stronę, które dają informację o tym, jak dobrze chroniona jest strona lub aplikacja webowa. 

Drugi wariant to sprawdzenie skanerami podatności.

Imunify360: możliwości i zalety 

Antywirus dla stron Imunify360 to jedno z najlepszych narzędzi do skanowania i wykrywania podatności. Szybko znajduje i usuwa wszystkie złośliwe skrypty. Dobrze współpracuje z Joomlą, WordPressem, Drupalem i innymi CMS-ami oraz ze stronami w html. 

Podstawowe możliwości: 

• Wykrywanie wszystkich rodzajów złośliwych skryptów. Antywirus wykrywa backdoory, ślady czarnego SEO, trojany i inne odmiany szkodliwych działań.
• Leczenie stron jednym kliknięciem. W kilka kliknięć antywirus usuwa ze strony wszystkie złośliwe elementy. 
• Plan skanowania i powiadomienia. Możesz ustawić regularne skanowania strony i powiadomienia o wykrytych problemach.

Co robić, jeśli strona już ucierpiała od napastników? 

Jeśli strona została zaatakowana, trzeba podjąć środki ostrożności

Jeśli widzisz, że strona została zaatakowana, samo przywrócenie jej z kopii zapasowej nie wystarczy. Co jeszcze trzeba zrobić? 

• Ustalić, które pliki zostały zmienione. Może to być index.php, szablon albo inna zawartość. 
• Zrobić zrzuty ekranu pokazujące skutki włamania. 
• Powiadomić dostawcę hostingu i koordynować z nim prace nad przywróceniem strony. 
• Utworzyć logi błędów dostępu albo poprosić o nie hostingodawcę. 
• Ustalić, kiedy wprowadzono zmiany, i przejrzeć wpisy w logach z tego okresu. Pomoże to ustalić adresy IP włamywaczy. 
• Przywrócić stronę z kopii zapasowej, zmienić hasła, zaktualizować skrypty i komponenty. Usunąć źródło podatności.

 Żeby zmniejszyć ryzyko włamania, trzymaj się kilku zasad: 

• kontroluj grono osób, którym podajesz hasła do strony; jeśli dostęp mają zewnętrzni specjaliści, usuwaj ich konta po zakończeniu prac;
• pobieraj motywy i wtyczki wyłącznie z zaufanych źródeł;
• ustawiaj złożone hasła i okresowo je zmieniaj;
• korzystaj z wtyczek bezpieczeństwa — bez nich strony można złamać nawet prymitywnym brute force’em;
• rób kopie zapasowe regularnie;
• regularnie aktualizuj CMS-a i wszystkie komponenty. 

Podsumowanie 

Dla Host4Biz bezpieczeństwo Twoich stron jest priorytetem. Stale kontrolujemy sytuację i podejmujemy środki ostrożności. W artykule opowiedzieliśmy o tym, co możesz zrobić Ty, żeby chronić strony. 

Czytaj nasze artykuły i koniecznie zamów hosting dla WordPressa z solidną ochroną antywirusa, automatycznymi aktualizacjami wtyczek i certyfikatem SSL. Na takiej podstawie Twoja strona będzie działać niezawodnie i szybko. 

W artykule wykorzystano zdjęcia ze strony https://www.freepik.com