Code Search: Novas ameaças de segurança

Como já era de se esperar a estréia do Google Code Search trouxe inúmeras novas oportunidades de crackers buscarem obter informações como senhas de sites alheios.

Em forma de pesquisa algumas pessoas buscaram obter acesso a senhas alheias utilizando expressões regulares no code search. No exemplo foi utilizada uma busca que retorna senhas de banco de dados de blogs do tipo wordpress.

Não! o Google não cometeu uma falha e esta indexando de alguma forma arquivos de configuração, como já demostrei arquivos .php não mostram seu código fonte na web. O problema esta um pouco mais além e na verdade é culpa de más práticas de desenvolvedores.

Como fugir destes problemas?

1. Não user arquivos .inc para configurações - ok esta é velha mas vale ainda, se você utilizar um arquivo desta extesão ele é indexado e visto como um arquivo de texto, use sempre .inc.php ou .inc.asp

2. Não armazene cópias em arquivos ZIP - Não só zip como qualquer outra forma de arquivo compactado, por um motivo simples, são estes arquivos que o Google Code Search esta indexando e disponibilizando em sua busca, ou seja, se vc tiver um backup do seu site em zip guardada lá e o google achar… sua configuração esta exposta.

Esta são duas dicas básicas que na verdade já deviam valer antes do Code Search, mas fica ai a recomendação para que não tenham problemas. Alguns comentpários já estao por aqi com string para busca de senhas em ASP e outras linguagens.

Tags:
comments powered by Disqus
Google Code Search
Novo Artigo: AJAX - O que é? Como funciona?

Related Posts

Nova cara!

Nova cara!

  • November 20, 2006

Como podem perceber o blog passou por um “makeover”. O motivo principal foi a busca por mais espaço, com isso este tema que traz duas barras laterais me permite disponibilizar mais conteúdo e ligações com outras áreas do site.

Read More
2008: Acontecimentos que mudaram a internet

2008: Acontecimentos que mudaram a internet

  • January 7, 2009

Este ano for marcado por várias mudanças, muitas em minha vida profissional e muitas na minha vida pessoal. Ok, não vou ficar aqui papeando sobre minha vida pessoal, mas acredito que o que vi ocorrendo na minha vida profissional e com a internet em geral seja bem válido para um artigo.

Read More
PHP Security: Are you paying attention?

PHP Security: Are you paying attention?

  • September 29, 2009

Security is a recurring topic when the talk is about Technology, or any other area for that matter. To take security for granted when you are developing an application, as simple as it may be, is a huge mistake which can take a turn for the worse. I have ran into lots of excuses for ignoring security in the past, one of them is the recurring “This is just a simple application, it has no sensitive data”, this may be a valid point for the person repeating it like a mantra, especially because this person is generally suffering of great pressures , short timeframes and a lack of proper management ready to deal with web development. Cal Evans in his Open Teams session gives a perfect example of this when he tells us about a project with an impossible due date. Upon questioning the due date to the marketing department their reply was straight forward: “Because that’s when the brochures are done”. This is an example of the lack of perception around web development and all the issues we need to take into consideration when developing applications.

Read More