Zabudnuté staging a testovacie servery: časť, ktorú nikto nesleduje

Zabudnutý staging alebo testovací server je kópia vášho webu či aplikácie, ktorá vznikla na vývoj a potom ostala bežať na internete. Zvyčajne má názov ako staging.yourcompany.com, dev.yourcompany.com alebo test2.yourcompany.com, nikto ju už nekontroluje a často beží na staršom kóde so slabšími nastaveniami než produkcia.

Tieto servery treba brať vážne, pretože patria k tomu, čo z vašej firmy vidno na internete, aj keď ich tak nikto neberie. Nemajú také aktualizácie, zabezpečenie prihlásenia ani dohľad ako hlavný web, a predsa často používajú tie isté kópie databázy, kľúče API a administrátorské účty.

Dobrá správa je, že sa dajú ľahko nájsť a oprava býva jednoduchá. V článku ukazujeme, ako ich hľadať a čo s každým z nich urobiť.

Prečo sa na staging servery zabúda

Staging server vzniká z dobrého dôvodu: aby sa nová verzia otestovala skôr, než ju uvidia zákazníci. Potom sa verzia nasadí, vývojár prejde na iný projekt alebo sa skončí zmluva s agentúrou a server beží ďalej, pretože jeho vypnutie nikto nemal v zozname úloh. Typické situácie:

• Úplná kópia produkcie vrátane nedávneho výpisu databázy, aby sa testovalo na realistických dátach.
• Zapnutý režim ladenia, ktorý ukazuje výpisy chýb, hodnoty konfigurácie alebo podrobnosti o frameworku.
• Predvolené alebo zdieľané administrátorské heslá, ktoré boli „len na testovanie“.
• Staré verzie CMS, pluginov alebo knižníc, ktoré produkcia medzitým aktualizovala.
• Žiadne HTTPS alebo certifikát, ktorý vypršal pred mesiacmi.
• Indexovanie vyhľadávačmi nikto nezablokoval, takže testovací web sa vo výsledkoch objavuje vedľa skutočného.

Nič z toho samo osebe nie je dramatické. Spolu to však znamená, že pod vašou vlastnou doménou beží server slabší než všetko okolo neho.

Ako sa tieto servery dajú nájsť

Na to, aby niekto staging server našiel, nemusíte nikde zverejniť odkaz. Najčastejšie 3 cesty:

1. Certificate Transparency. Keď sa pre staging.yourcompany.com vydá všeobecne dôveryhodný certifikát, názov sa zapíše do záznamov, ktoré si môže prečítať každý (protokol opisuje RFC 9162). Prehľadávať ich môže ktokoľvek, ako vysvetľujeme v článku záznamy Certificate Transparency vysvetlené.
2. Záznamy DNS. Kým záznam smeruje na server, server je dostupný cez svoj názov. Ľahko uhádnuteľné názvy ako dev, test či beta útočníci skúšajú ako prvé.
3. Vyhľadávače a archívy. Testovací web bez pravidiel indexovania sa môže objaviť vo výsledkoch vyhľadávania a staré stránky ostávajú vo webových archívoch.

Ako nájsť vlastné zabudnuté servery

Najprv zozbierajte názvy, potom skontrolujte každý z nich.

1. Vyhľadajte na crt.sh %.yourcompany.com a zapíšte si všetky nájdené názvy.
2. Prejdite svoju zónu DNS a hľadajte názvy ako dev, stage, staging, test, uat, beta, old, demo, preview.
3. Každý názov preložte na IP adresu a skontrolujte odpoveď:

dig +short staging.yourcompany.com
curl -sI https://staging.yourcompany.com

1. Každý server otvorte v prehliadači a zistite: ukazuje skutočné údaje zákazníkov, prihlasovací formulár, ladiacu stránku, predvolenú stránku servera alebo chybu hostingovej platformy?
2. Hľadajte súbory, ktoré by server nikdy nemal vydať. Testovacia príručka OWASP to rieši v WSTG-CONF-04 a upozorňuje, že server záložné súbory zvyčajne nevykoná, ale pošle ako obyčajný text. Bežné názvy takých súborov uvádzame v článku o prístupných súboroch .env, .git a zálohách.

Ak názov smeruje na hostingovú platformu, ktorá ukazuje stránku „no such app“ alebo „bucket not found“, riešte to hneď: je to klasická situácia pre prevzatie subdomény.

Čo s každým z nich urobiť

Pre každý staging alebo testovací server vyberte 1 z 3 možností.

Odstrániť. Ak nikto nevie povedať, komu patrí a na čo slúži, vypnite server a zmažte záznam DNS. Záznam mažte až po serveri, nie pred ním, a nikdy nenechávajte CNAME smerovať na službu, za ktorú už neplatíte.

Obmedziť. Ak ho tím ešte potrebuje, dajte ho za prihlásenie alebo zoznam povolených IP adries. HTTP Basic autentifikáciu pridáte rýchlo, no MDN upozorňuje, že sa musí používať cez HTTPS, pretože prístupové údaje sú len zakódované v base64. VPN alebo proxy s overovaním identity je dlhodobo lepšia voľba.

Vyčistiť. Na stagingu by nemali byť skutočné údaje zákazníkov. Používajte vygenerované alebo maskované dáta, samostatné kľúče API s obmedzenými právami a vypnite ladiace výstupy.

Zablokovať vyhľadávače sa oplatí, no ochrana to nie je. Podľa Google stránky udržíte mimo výsledkov pomocou noindex, cez <meta name="robots" content="noindex"> alebo hlavičku X-Robots-Tag (Google Search Central). Stránka je však stále dostupná každému, kto pozná adresu.

X-Robots-Tag: noindex

Krátky kontrolný zoznam

• Každý neprodukčný server má určeného zodpovedného človeka a dátum, kedy skončí.
• Na stagingu nie sú skutočné údaje zákazníkov.
• Staging vyžaduje prihlásenie alebo je za VPN.
• Režim ladenia vypnutý, samostatné kľúče, žiadne zdieľané administrátorské heslá.
• Server má platný certifikát, alebo je odstránený.
• Záznamy DNS sa zmažú spolu so serverom.
• Zoznam sa preveruje po skončení každého projektu, nie raz za rok.

Kam zapadá Datahorses

Datahorses stráži vašu firmu každý deň zvonku. Sledujeme aj nové subdomény pod vašimi doménami, zabudnuté testovacie servery a súbory, ktoré sa z nich dajú stiahnuť. Každé zistenie príde s presnými krokmi pre vášho vývojára. Do vašich systémov nevstupujeme a nepotrebujeme žiadne prístupy. Viac o tom, čo strážime a čo sa stane, keď niečo nájdeme.