Az ellenőrzőnkről
Ha megtaláltad a Royals Securityt a szervernaplóidban, ez az oldal elmagyarázza, mi látogatta meg a weboldaladat, mit kért le, és hogyan állíthatod le.
Ez fordítás. Az oldal angol változata az irányadó. English
Mi ez
A Royals Security weboldal-biztonsági ellenőrzés kisvállalkozásoknak. Amikor valaki arra kér minket, hogy ellenőrizzünk egy weboldalt, az ellenőrzőnk egyszer meglátogatja, és a gyakori biztonsági hibákat jelenti ennek a személynek.
Nem keresőrobot. Nem indexel oldalakat, nem követi a linkeket az oldaladon, és nem tér vissza a saját ütemezése szerint.
Hogyan ismered fel
Az ellenőrző minden kérése, amelyet egy weboldalnak küld, pontosan ezt a User-Agentet viseli:
RoyalsSecurityScanner/1.0 (authorized security assessment)
Miért látogatta meg az oldaladat
Ellenőrzés csak akkor fut, ha egy személy beír egy weboldalcímet az oldalunkon, és megerősíti, hogy az övé, vagy jogosult az ellenőrzésére. Ha nem te kértél ellenőrzést, valaki más írta be a címedet: talán egy kollégád, a webfejlesztőd vagy az ügynökséged.
Mit kér le
Az ellenőrző csak olvas. Egy ellenőrzés néhány szokásos kérést küld, majd megáll:
- A kezdőlapodat, HTTP-n és HTTPS-en, hogy elolvassa a válaszfejléceket és a sütiket, és lássa, hová irányít át.
- A tanúsítványodat, egy szokásos biztonságos kapcsolat megnyitásával.
- A domained nyilvános DNS-rekordjait, például a névszervereket, az SPF-, DMARC- és DKIM-rekordokat, valamint a nyilvános regisztrációs bejegyzést, amely megmutatja, mikor jár le a domain. Ezek a lekérdezések DNS-szerverekhez és a domainnyilvántartóhoz mennek, nem a weboldaladhoz.
- Jól ismert, érzékeny útvonalak rövid listáját, amelyet lent felsorolunk, hogy lássuk, elérhető-e nyilvánosan egy olyan fájl, amelynek privátnak kellene lennie.
- Egy nem létező címet, hogy meg tudjuk különböztetni a valódi fájlt egy olyan oldaltól, amely minden kérésre ugyanúgy válaszol.
Soha nem lép be, nem küld be űrlapot, nem találgat jelszót, és semmit sem próbál kihasználni. Ha az érzékeny fájlok egyike elérhető, azt rögzítjük, hogy létezik, és csak annyit olvasunk belőle, amennyi megerősíti, hogy mi az. A tartalmát soha nem tároljuk és nem mutatjuk meg.
Az ellenőrzött útvonalak
/.env/.git/HEAD/.git/config/.aws/credentials/id_rsa/.htpasswd/dump.sql/backup.sql/db.sql/backup.zip/site.zip/wp-config.php.bak/wp-config.php~/phpinfo.php/info.php/server-status/storage/logs/laravel.log/wp-content/debug.log
További útvonalak Business ellenőrzésnél
Ha az ellenőrzést kérő személy a Business csomagban van, az ellenőrző ezeket a címeket is lekéri, egyenként egyszer, egyszerű GET kéréssel. Csak azt nézi, visszajön-e belépőoldal. Soha nem küld be űrlapot, nem próbál jelszót, és nem megy végig a belépésen.
/wp-admin//wp-login.php/administrator//admin//cpanel/phpmyadmin//pma//adminer.php/.well-known/security.txt
Külső szolgáltatások, amelyeket egy domainről megkérdez
Ezek a lekérdezések soha nem érintik a szerveredet. Csak a domainnevet küldjük el.
- Nyilvános DNS-szerverek, a DNS- és e-mail-rekordokért.
- A domainnyilvántartó, az rdap.org-on keresztül, a lejárati dátumért.
- Csak Business ellenőrzésnél: a nyilvános Certificate Transparency naplók, a crt.sh-n keresztül, a domainre kiadott tanúsítványokért. Az ott talált aldomaineket felsoroljuk, de soha nem látogatjuk meg.
A legtöbb weboldalon ezek mindegyike „nem található” választ ad, és ez az az eredmény, amelyet szeretnél.
Korlátok
Korlátozott, hogy egy személy hány ellenőrzést futtathat, és hogy egy weboldalt hányszor lehet ellenőrizni. Az ellenőrző elutasítja a privát és belső címeket.
Kérd, hogy ne ellenőrizzük a domainedet
Ha azt szeretnéd, hogy a domainedet soha ne ellenőrizzük, írj nekünk egy ahhoz a domainhez tartozó címről, és mondd meg, melyik domaint zárjuk ki. Felvesszük a kizárási listánkra, amely az aldomainjeire is vonatkozik, és az ellenőrzését elutasítjuk.
Ha magában a Royals Securityben találtál biztonsági hibát, nézd meg a biztonsági oldalunkat.