เป็นเรื่องปกติหรือไม่ที่ฉันเห็นข้อมูล Redis ของผู้อื่นในการแชร์โฮสติ้ง [ปิด]


40

บริการ Redis มีให้บริการบนโฮสติ้งของฉันและถ้าฉันเชื่อมต่อด้วยเงินจะมีให้เฉพาะฉันเท่านั้นเนื่องจาก Redis เพิ่มขึ้นในคอนเทนเนอร์นักเทียบท่าแยกต่างหาก

แต่ถ้าฉันปิดแล้ว Redis ยังคงสามารถใช้ได้ฟรีแม้ว่าจะใช้กับเซิร์ฟเวอร์ และที่นี่ฉันกำลังเชื่อมต่อกับ Redis ทั่วทั้งเซิร์ฟเวอร์:

$redis = new Redis ();
$redis->connect('127.0.0.1', 6379);

และฉันเห็นมีประมาณ 300,000 บันทึกของเว็บไซต์ของคนอื่น

$allKeys = $redis->keys('*');
echo(count($allKeys)); // ~300000
echo ($allKeys[10000]); // some data of some site
echo ($redis->get($allKeys[10000])); // some data of some site

และฉันสามารถเปลี่ยนทุกบันทึก! แบบนี้:

$redis->set($allKeys[10000], 0);

นั่นคือมีคนใช้ Redis ทั่วทั้งเซิร์ฟเวอร์และฉันเชื่อว่าผู้ใช้ไม่ได้ตระหนักถึงความพร้อมใช้งานสาธารณะของข้อมูลของพวกเขา เขาเพิ่งเปิดช่องทำเครื่องหมาย "ใช้ Redis" ที่ไหนสักแห่งใน WordPress

และคำถามคือผู้ให้บริการโฮสต์รับผิดชอบในเรื่องนี้หรือไม่ ท้ายที่สุดผู้ใช้ทั่วไปเชื่อว่าข้อมูลของเขาถูกเก็บไว้บนเซิร์ฟเวอร์ของเขาเท่านั้นและพร้อมใช้งานสำหรับเขาเท่านั้น

การตอบสนองการสนับสนุนทางเทคนิคคือ: ทุกอย่างก็โอเค

แต่ฉันไม่คิดอย่างนั้นฉันจึงถาม


5
อาจเป็นเพียงฐานข้อมูลของคุณที่เปิดเผยและขณะนี้มีคนอื่นใช้งาน (เช่นการโฮสต์ไซต์แอบแฝง / ที่เป็นอันตราย) ... ฉันเคยเกิดเหตุการณ์นี้ขึ้นอีกครั้งเมื่อบังเอิญออกจากการทดสอบ (ไม่ใช่การผลิตไม่มีข้อมูล / การใช้งานจริง) เซิร์ฟเวอร์ที่เปิดเผยบนอินเทอร์เน็ต กลับมาอีกสองสามวันเพื่อค้นหาข้อมูลที่เต็มไปด้วยคนอื่น
Mike Graf

คำตอบ:


25

ผู้ให้บริการโฮสต์รายนี้มีหน้าที่รับผิดชอบต่อการละเมิดความปลอดภัย เมื่อพิจารณาถึงความเสี่ยงด้านความปลอดภัยของแอปพลิเคชันบนเว็บสิบอันดับแรกของ OWASP นี่คือปัญหาความเสี่ยงด้านความปลอดภัยบางประการ: การตรวจสอบความถูกต้องที่ขาด, การเปิดรับข้อมูลที่ละเอียดอ่อนและการควบคุมการเข้าถึงที่ใช้งานไม่ได้

ขั้นตอนต่อไปของคุณคืออะไรขึ้นอยู่กับคุณ คุณควรแจ้งผู้ให้บริการโฮสติ้งผู้ใช้ควรได้รับแจ้งจากผู้ให้บริการโฮสติ้งสำหรับการละเมิดข้อมูลที่เป็นไปได้ นี่เป็นเรื่องความปลอดภัยและกฎหมายที่ร้ายแรงมากเนื่องจากผู้ใช้รายอื่นอาจเข้าถึงข้อมูลส่วนตัวได้

ดู: https://owasp.org/www-project-top-ten/


4
คำตอบการสนับสนุนทางเทคนิคคือ: ทุกอย่างก็โอเค
ДмитрийПаймуллин

15
@ ДмитрийПаймуллинหากคุณสามารถเข้าถึงข้อมูลของผู้ใช้คนอื่นผู้ใช้รายอื่นก็สามารถเข้าถึงข้อมูลของคุณได้เช่นกัน ที่ไม่ปลอดภัยและคุณควรพิจารณาใช้ผู้ให้บริการโฮสต์นี้เลย
Nikola Kirincic

@NikolaKirincic คุณต้องใส่ก่อนnot consider
Erkin Alp Güney

@NikolaKirincic สิ่งสำคัญที่ต้องจำที่นี่คือถ้ามันไม่โฆษณาเป็นส่วนตัวได้รับฉันไม่คิดว่าฉันจะใช้ประโยชน์จากสิ่งนี้ แต่ถ้ามันทำงานได้รับการออกแบบและออกแบบเป็นพื้นที่สาธารณะที่ไม่ได้ การละเมิดความปลอดภัย
Bruce Burge

5

ฉันทำงานในเว็บโฮสติ้ง สิ่งนี้ไม่ถูกต้องและหมายความว่าพวกเขามีปัญหาร้ายแรงในมือของพวกเขา! ขอผู้จัดการหรือหัวหน้างาน ถ้านั่นไม่มีที่ไหนเลยย้าย

จากสิ่งที่คุณอธิบายพวกเขามีผู้ใช้เสมือนจริงสำหรับผู้ใช้ Redis ที่ชำระเงิน แทนที่จะปิดใช้งานสำหรับทุกคนดูเหมือนว่าจะอนุญาตให้ทุกคนเข้าถึงพูลที่ใช้ร่วมกันแบบเดียวกันทำให้เกิดการละเมิดความปลอดภัยที่คุณได้อธิบายไว้


1
สวัสดี - คำตอบของคุณจะสร้างสรรค์มากขึ้นด้วยคำอธิบายว่าทำไม
Howard E

ขอบคุณสำหรับคำแนะนำ ฉันได้แก้ไขคำตอบเริ่มต้นของฉัน
Ryan Flowers
โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.