Как проверяем и почему это важно
Перебираем в корне сайта типовые адреса диагностической PHP-страницы (phpinfo.php, info.php, test.php и подобные) и опознаём её по содержимому вывода. Проблема — если такая страница открыта всему интернету.
Она показывает точную версию PHP (по ней подбирается готовый эксплойт), полный список модулей, абсолютные пути на сервере, переменные окружения — нередко с логинами и паролями к базе, значения php.ini (open_basedir, allow_url_fopen, expose_php) и версию nginx/Apache. Это готовая разведсводка для атаки, и находят такие файлы не люди, а сканеры — за минуты.
Файл почти всегда остаётся после отладки и о нём забывают: удаляем его, закрываем доступ к служебным адресам и заодно проверяем, что ещё лежит в корне открытым.
Вес в штрафном балле
Если проверка находит проблему, к штрафному баллу компании прибавляется её вес.
| Открытый PHP-файл | 1.1 |
В рейтинге сейчас
Проблема найдена у 4 участников рейтинга. Смотреть рейтинг по этой проверке →