インターネット上に公開されてしまったデータベースのダンプファイル(2017-08-08) - JPCERT/CC Eyes

2017年6月下旬にドイツのセキュリティ研究者より、日本国内の多数のWebサイトで、データベースのダンプファイル（以下「ダンプファイル」）が外部から閲覧できる状態にあるとの報告を受けました。JPCERT/CCでは、提供いただいた情報をもとに該当するWebサイトの管理者に連絡し、状況を確認しました。今回は、この問題について確認できた状況を紹介します。 また、報告者は2017年7月5日に、この問題について世界での状況を記事[1]として取り上げています。 ドキュメントルート直下に設置されたダンプファイル 問題のダンプファイルは、どのWebサイトでもdump.sqlなどのファイル名でWebサーバのドキュメントルート直下に置かれており、そのファイルを参照するURLに直接アクセスすれば、ダンプファイルを閲覧できる状態になっていました。 JPCERT/CCでは、報告を受けた当初、広範囲に行われた何らかの

[tekimen]

ドキュメントルート配下しかアクセス許可のない(FTP(察して)も)レンタルサーバーなどでダンプファイルをバックアップせざるを得ないというサーバーを変えてほしいのにできない。周りに理解者がいなかったケース

[longroof]

うぅ(；´Д｀)…ドキュメントルートで作業しちゃう…ダンプファイル残っちゃう…アクセスを許しちゃう…あぁー

[kzm1760]

絶対ダメなやつなんだけど、DocumentRootで作業する、そこでdumpしちゃうってのはあるあるネタな気がする。GitやSVNとかで構成管理していない、デプロイツールとか使ってなくてFTPでファイル転送みたいな。

[akulog]

コレの何がダメなの？というレベルのエンジニアが昔いてクビにしたことある

[yutamoty]

Webサイトからdumpダウンロードできて便利みたいな話か

[tetsutalow]

なんじゃこりゃ…でも多分これが現場のエンジニアの現実的レベルかもしれん。やっぱり圧倒的に足りてないのは「セキュリティ技術者」ではなくて、「セキュリティについて最低限の知識を持った技術者」。

[cl-gaku]

ひどい

[Soraneko]

うわあ

[terazzo]

不思議はなかった

[KoshianX]

国内の多数のウェブサイトでってことはそういう おかしな流派の企業が多数の案件を抱え込んでるってことなんかな……。

[yuiseki]

オッ

[koba789]

例のアレじゃんか

[Untouchable]

例のやつもしかしてこれが元ネタか／"今回の問題は第三者の攻撃によるものではなく、「管理・運用のバッドプラクティス」が原因である可能性が高いという結論に至りました。 "

[rikochanhayatokun]

昔ならあるあるネタでしたね

[gfx]

"今回の問題は、多くの人が踏襲している管理・運用方法に原因があると推測しています。なぜ、そのような管理・運用方法が広まったのかについては引き続き調査をしています"

[mas-higa]

なんでそこで作業するのか。

[katsyoshi]

IPAからdump.sql置くなバカと書かれてますがこんなのがアルアルなんてどんだけやねん/JPCERTやった…

[hisaju]

なんて恐ろしい。。無知な開発組織ってこういうことを危機感なく起こしちゃうんですよね。

[Agrius_Akita]

例のアレ

[kaputte]

ドキュメントルートで作業か。疲れてたらやってしまうかもしれん。

[rAdio]

多分、公開環境へ必要なファイルのみをデプロイする、という考えではなく、開発ソースをまるごと本番環境に設置して実行させる的な、ある種のコンパイル的な考え方でやっちゃってるような気がする。

[pmakino]

DBのダンプファイルとか構成ファイル一式固めたもの公開領域に放置する奴あるある。たまたま見かけることができたときには注意してるけど…

[tofu-kun]

積極的にシェアする精神

[lesamoureuses]

ドキュメントルート直下で作業してるの。。。 “バックアップとしてダンプファイルをドキュメントルート直下に保存していた”

[fuktommy]

ダンプファイル内に秘密の情報があるのとの合わせ技でダメなので、ダンプファイルが全て問題のように思える文章は微妙だ。 インターネット上に公開されてしまったデータベースのダンプファイル(2017-08-08) @jpcert

[tkyjpy]

漫画村の件で？ https://goo.gl/jQjLZa

[pismo]

こういうの何度か見たことある。用無しになった段階で削除しないとねぇ。

[ockeghem]

『今回の問題は第三者の攻撃によるものではなく、「管理・運用のバッドプラクティス」が原因である可能性が高いという結論に至りました』<まあそうでしょうな

[zia_glass]

あえてドキュメントルートに配置する意味

[Gesaku_G]

『削除し忘れた』て…

[stealthinu]

ドキュメントルート以下のdump.sqlを探すのは結構常套手段なのか。

[tolkine9999h]

まぁ、ありがちな感じはする。