Porque se pregunta ¿como han podido entrar?, ¿Que es lo que a pasado?
Archivo PHPINFO - Universidad Zaragoza -> http://www.unizar.es/universa/test.php
Es increíble que todavía hay administradores de sistemas que piensa que renombrar el archivo phpinfo es como que lo escondiera al mundo. El siguiente estudio se realizó utilizando herramientas muy pero muy avanzadas -> Google.es
A una simple búsqueda en google nos encontramos con el servidor web de la Universidad Zaragoza en la primera posición y más abajo en la segunda un pequeño exploit para esta versión
Señores por lo menos cambiar los metadatos para que no aparezca phpinfo() si han cambiado el nombre del archivo. Y de verdad entre todos los nombres el único que han encontrado es test.php
Os recordamos que cuando se inicia un ataque lo primero es el Footprinting del sitio.
Ya está saliendo la versión del php que están utilizando. Hasta este punto no he dejado ninguna huella.
No sé qué enseña a los alumnos así que haré un recordatorio:
Phpinfo nos da la siguiente información:
Saber algunos programas que están ejecutándose mediante variables PATH
Ver el SO sin dejar huellas en internet
System
Linux tiermas 2.6.18-6-686 #1 SMP Fri Dec 12 16:48:28 UTC 2008 i686
Tipo de sistema 32bits o 64bits
Ver permisos de algunos archivos y carpetas como la directiva safe_mode
safe_mode
Off
Off
safe_mode_exec_dir
no value
no value
safe_mode_gid
Off
Off
safe_mode_include_dir
no value
no value
El peso máximo admitido a subir un archivo y la carpeta
upload_max_filesize
30M
30M
upload_tmp_dir
/tmp
/tmp
En el caso de ser vulnerable a una intrusión local puede ayudar a la explotación por ejecutar scripts del archivo temporal
Encontrar una vulnerabilidad local o de intrusión remota
Únicamente hay no más de 160 vulnerabilidades reportadas y conocidas de esta versión (Algunos parece ser que consideran que no son tantas)
Casi se me olvida que se podría explotar un xss, mediante la variable de vector '?a[]=URL'
Bueno pasamos al servidor web. Recordar que también el archivo phpinfo nos da mucha información del servidor web en este caso se trata de:
Igual que más arribita verificamos vulnerabilidades ... etc
Señores no sé lo que han aprendido en la universidad (disculpe ustedes son la universidad que enseña a los demás) , lo que veo no me gusta
Esto quiere decir que permite comprimir la respuesta antes de enviarla. Que quiere decir esto que si se envían múltiples consultas con diferentes rangos le mandamos que lo comprime con el famoso gzip asi que el servidor como no le gusta desatender ninguna consulta al final por el estrés provocado de tanto trabajo colapsará cosa que no se preocupen con ustedes no va a pasar porque vemos muy claro el tiempo que le dedica a estos temas.
Entonces espero que no digan más por la tele o en los periódicos que los alumnos deben repetir el examen.
Recomendación: Recordar deshabilitar el phpinfo y actualizar los programas y las versiones del php (5.2.0) porque en el día de hoy ya vamos por la versión 7.2.9 que es una versión estable.
Se puede ir más allá pero creo que es suficiente para que alguien tome algunas decisiones antes de empezar el nuevo año escolar con el pie izquierdo
Fuente : https://www.madridinformatico.es/analisis-del-archivo-phpinfo-y-el-peligro-que-supone/