[KacperSzurek]

NGINX to szybki i wydajny serwer HTTP. Ale czy wiesz jak go prawidłowo i bezpiecznie skonfigurować?
W dzisiejszym odcinku #od0dopentestera kilka przykładów błędnych konfiguracji, które mogą narazić nas na atak.

location /frytki {
 alias /test/;
}

Jeżeli location nie kończy się slashem / możliwe jest pobieranie treści poza katalogiem test:

http://strona.local/frytki../plik_poza_katalogiem.html

add_header X-Frame-Options SAMEORIGIN;
location /xss/ {
 add_header X-XSS-Protection "1; mode=block";
 alias /test/;
}

Jeżeli add_header używany jest w polu nadrzędnym i podrzędnymi wartości nie są łączone i wyświetla się jedynie ta z pola podrzędnego.

W tym wypadku w lokalizacji /xss nie będzie ustawiony nagłówek X-Frame-Options.

if ($http_host ~ "admin.local") {
 set $block "1";
}

Gdy porównujesz tekst przy pomocy tyldy ~ pamiętaj, ze rozróżnia ona wielkość liter.

W tym wypadku blokadę można ominąć używając nagłówka:

Host: ADMIN.LOCAL

Konfiguracje można sprawdzić automatycznie używając skryptu gixy.

Jeżeli chcesz być wołany dodaj się do Mirkolisty.
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.

#security #bezpieczenstwo #programowanie #programista15k #informatyka #it #nauka #technologia #ciekawostki #gruparatowaniapoziomu

[KacperSzurek]

Wołam zainteresowanych (38) z listy od0dopentestera
Możesz zapisać/wypisać się klikając na nazwę listy.

Sponsor: Grupa Facebookowa z promocjami z chińskich sklepów

Masz problem z działaniem listy? A może pytanie? Pisz do IrvinTalvanen

! @KacperSzurek @Mashe @UrimTumim @porque @NERP @Smevios @Jakplus @Pioneer95 @ThatPart @szczeppan @Zielarz25 @press2210 @Dorrek @hiroszi @jerekp @Dyktus @bovver91 @Campell @ghostd @heow @Bakanany @znow_nowy_nick @arais_siara @Pies_Benek @HeinzDundersztyc @johnyboy @MojeTrzecieKonto @Deflaut @cytawek @dziki_bak @koperrr @balor @elpredatoro @notoniewiem @czechu @arba @Wroneczek @xDRpl

[R4vPL]

@KacperSzurek: dopisz mnie do listy

[Ravciu]

@KacperSzurek: mnie też dopisz :)

[tellet]

@KacperSzurek
Dlatego na początek tylko apaczi, z prostym konfiguraczi, w każdym direktoraczi własne .htaccess ( ͡°( ͡° ͜ʖ( ͡° ͜ʖ ͡°)ʖ ͡°) ͡°)

[KacperSzurek]

@R4vPL: @Ravciu: chodzi Wam o Facebooka czy o mirkoliste?

[Ravciu]

@KacperSzurek: mirkoliste :D

[KacperSzurek]

@Ravciu: Z tego co się orientuje nie mogę Cie dodać, musisz to zrobić samemu.
Wystarczy wejść tutaj i kliknąć dołącz u góry po prawej stronie.

[Ravciu]

@KacperSzurek: gotowe! dzięki :>, czekam na następne rzeczy :)