カスタム管理URLをどのように見つけましたか？

22

カスタムの管理URLを持っていますが、だれかが管理者にログインしようとしています。

私もそれを変更し、次のログインが試行された直後に。

どうしてこれが起こるのでしょうか、安全だと思いましたか？

admin  security 
— フライングマナ
ソース
これは、あいまいさによるセキュリティであり、良い方法ではありません。成功しない限り、ユーザーが管理URLにログインしようとしても問題ありません。
— ジョン
カスタム管理URLがいかに巧妙に汎用的であっても、おそらく以前に使用されていたでしょう。管理者タイプURLのライブラリは、Webサイトをスキャンするためにすぐに利用できます。別のタックを試してください。ウェブサイトのバックエンドで作業する地元のスターバックスに座っている必要はありません。.htaccessを使用して、/ adminおよび/ downloaderへのアクセスをIPアドレスで制限します。
— フィアスコラボ
— ウィレム
2
彼らはこれを行う理由はおかしなは...、私の想像を超えていること、多くのユーザーが許可しないよう、自分のrobots.txtのにこのカスタムパスを入れている...と私はいつものrobots.txtから取得する他のすべてのリンク/ファイル
別の方法。痛い、何がポイントでしたか？=> magento.stackexchange.com/questions/68003/...
— フィアスコLabsの

回答:

16

管理URLを公開する方法はいくつかあります。いくつかが含まれます

  • 管理コントローラーを誤って作成するモジュール。訪問知られている、不適切な、管理者frontnameは、ログイン画面にリダイレクトされます。たとえば、を押しexample.com/mymodule_admin/foo/barます。「安全な」管理コントローラーはcustomadmin、のようにフロントネームの上に拡張されますexample.com/customadmin/mymodule/foo_bar。
    • SUPEE-6788にはこれに対する修正がありますが、これは手動で変更する必要がある設定です。
  • URLはのXML応答に表示されますexample.com/index.php/rss/order/NEW/new。
    • SUPEE-6285で修正
  • 一部のWebホストは、などのパブリックエリアにアクセスログを作成しますexample.com/access_logs。攻撃者はこれらのログを調べて、有望なURLを盗聴する可能性があります。
  • 不適切に保護された管理コントローラーにアクセスする（例example.com/downloadable/Adminhtml_Downloadable_File/upload）
    • SUPEE-5994で修正
  • おそらくダウンローダーのURL（example.com/downloader）に気付いていないでしょう。ログイン画面の背後では安全ですが、総当たり攻撃により攻撃者が管理者のURLに戻ることができます。

あいまいさによるセキュリティはまったく安全ではありません。安全のために、管理インターフェイスを保護する必要があります。これは、IPフィルタリング、キャプチャ、レート制限などを使用して実行できます。もちろん、強力なパスワードを使用します。結局のところ、管理者のログイン画面を見ることは実際には問題ではありません。権限のないユーザーが侵入するのは問題だけです。

— スティーブ・ロビンス
ソース
4
また、言及する価値がある：Magento Guest Auditを使用してサイトをスキャンします。あなたが訪問者にどれほど明らかにするかに驚くでしょう。（ウェブインターフェースは新しく、作業が必要です）
— スティーブロビンズ
1
箇条書き1は、最終的にSUPEE-6788によって対処されます。インストールして、動作しないモジュールをアップグレードし、管理ルーティング互換モードを無効にします。この=> github.com/rhoerr/supee-6788-toolboxは、モジュールがバイパスを可能にする可能性が高いかを示します。
— フィアスコラボ
9

現実には、難読化によるセキュリティはほとんど機能しません。スクリプトのキディからあなたを守ることすらできないと思います。

しかし、この場合に。カスタムURLを使用せず、管理URLに独自のルートを使用する管理モジュールがあります。支払いモジュールは、たとえばこれを行う可能性が高いです（私たちの店で4つ見つけました）。

あなたはとgithubの上のいくつかをfindeできhttps://github.com/search?p=1&q=AdminController+%22extends+Mage_Adminhtml_Controller_Action%22&ref=searchresults&type=Code&utf8=%E2%9C%93
私は含んでいないすべてのコントローラクラスを想定し_Adminhtml_、このために使用可能です。

サイドノート、管理者用のカスタムURL、/ downloader用ではありませんか？そこに管理者ユーザーをブルートフォースするだけで、そこから管理者URLを取得できます。

— フライングマナ
ソース
本当に面白いです。共有していただきありがとうございます。興味のない支払いモジュールを使用していますか？
— ショーン
2
現在、これはバニラMagentoのインストールでも可能です。特定のURLにアクセスするだけで、管理ルート（カスタムかどうか）に移動します。
— ジェームズアネレイ-TheExtensionLab 15年
@JamesAnelay Careはクラスの他のメンバーと共有しますか？
— スティーブロビンズ
@JamesAnelay Magentoは現在これに取り組んでいます。彼らはおそらく情報を広めないことを感謝するでしょう。
— ピーターオキャラハン
1
Webアプリケーションファイアウォールまたは.htaccessロックダウンルールを、管理者、接続、およびダウンローダーの機能に対して使用する方が、指を交差させてあいまいにするよりも優れています。SBO（Security by Obscurity）のようなパッシブメソッドには歯がありません。セキュリティの問題を処理せず、幸運を祈ってアクセスを移動するだけです。それは私がセキュリティのピケットフェンス法と呼んでいるものです。スラットの間に隙間があり、攻撃は常に隙間を埋めることができます。
— Fiasco Labs
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.