Privilegi dell'utente del database: un sito bucato non deve aprire gli altri
Su molti server lo stesso utente MySQL serve più siti, a volte con privilegi su tutto il server. Basta una falla in un plugin di un sito per leggere i database di tutti gli altri.
Un solo utente per tutti i database moltiplica i danni.
Capita sui VPS gestiti dall'agenzia: per fare prima si usa lo stesso utente, o un utente con GRANT ALL su .. Funziona tutto, finché un sito non viene bucato.
Con una SQL injection o un file di configurazione letto da fuori, l'attaccante ottiene quei privilegi. Se vedono altri database, il problema non è più di un sito solo.
Cosa controlla l'agente.
Privilegi globali
L'agente legge i GRANT dell'utente. Qualunque privilegio globale oltre USAGE, come ALTER, CREATE o INDEX, e il WITH GRANT OPTION fanno scattare il controllo.
Altri database
Controlla se l'utente vede database diversi da quello del sito.
Stessa regola ovunque
Dall'agente 0.24.0 la regola è identica su WordPress, Joomla, Drupal e PrestaShop.
Vuoi provarlo su un sito vero? La prova di 30 giorni non chiede la carta di credito.
Prova gratisDomande frequenti
Le credenziali del database arrivano alla piattaforma?
No. L'agente manda il risultato del controllo, non la password né il file di configurazione.
Funziona con PostgreSQL?
Il controllo è scritto per MySQL e MariaDB, che usano quasi tutti i siti WordPress, Joomla e PrestaShop. Anche i backup oggi richiedono MySQL o MariaDB: su un sito con PostgreSQL, SQLite o SQL Server la piattaforma lo dice e non li avvia.
Da vedere insieme
- 169 controlli automatici sulla configurazione di WordPress, Joomla, Drupal e PrestaShopAmministratori nascosti, impostazioni rischiose, database e file esposti, con cosa fare.
- Hardening di WordPress controllato su tutti i siti, ogni giornoEditor dei file, chiavi di sicurezza, debug, XML-RPC e strumenti dimenticati.
- Controlli di sicurezza per Drupal: impostazioni, moduli e permessitrusted_host_patterns, hash_salt, moduli di sviluppo e permessi pericolosi.
- Backup cifrati per WordPress e Joomla, direttamente dal server del clienteCifrati sul sito prima di partire e bloccati contro la cancellazione.
Provalo sui siti dei tuoi clienti.
Collega oggi i primi siti e guarda cosa ci trova SitePing.
- Tutte le funzioni di Complete tranne i backup
- Fino a 10 siti
- Per iniziare non serve la carta di credito
- Alla fine scegli un piano o passi a Free, e non paghi niente
Hai già un account? Accedi. Preferisci guardare prima un sito? Audit gratuito in sola lettura.