Apache Server Status
Apache Server Status (Bild: Screenshot Golem.de)

Apache Server Status Falsch konfigurierte Websites verraten Passwörter

Zahlreiche Websites, darunter auch sehr große, geben jedem Einblick in den Status ihrer Apache-Server, bei wenigen tauchen dort auch Passwörter von Nutzern auf.

Anzeige

Daniel Cid vom Sicherheitsunternehmen Sucuri ist der Frage nachgegangen, welche Websites ihren Apache Server Status für jeden lesbar ins Netz stellen. Er hat dazu rund 10 Millionen Websites automatisiert überprüft und dabei zahlreiche Websites gefunden, bei denen das der Fall ist. Die entsprechende Liste hat Cid unter urlfind.org ins Netz gestellt.

Darunter sind bekannte Websites wie php.net, cloudflare.com, disney.go.com, latimes.com, staples.com, tweetdeck.com, nba.com, ford.com, cisco.com und apache.org. Letztere geben an, den Serverstatus bewusst ins Netz zu stellen, andere, wie php.net, cloudflare.com oder latimes.com, haben den Fehler nach einem Hinweis korrigiert.

Der Apache Server Status verrät, welche Zugriffe der jeweilige Webserver gerade verarbeitet, einschließlich IP-Adressen und aufgerufener URLs. Das kann mitunter zu einem Sicherheitsproblem führen, denn Cid fand auf diesem Weg unter anderem die URLs zu einigen Administrationskonsolen für Websites, die ungesichert im Netz stehen. Je nach Konfiguration lässt sich auch ablesen, wie viele Zugriffe und welchen Traffic ein Server verarbeitet.

Der Metasploit-Architekt HD Moore hat die Untersuchung von Cid mit den laut Alexa Top-100.000-Websites nachvollzogen und laut Ars Technica dabei in rund 45 Minuten 1.774 Websites gefunden, die ihren Serverstatus ins Netz stellen. Darunter auch Websites, bei denen Session-IDs oder das Anmeldepasswort der Nutzer im Klartext in der URL auftauchen, die auf der Server-Status-Seite zu sehen sind.

Wie sich der Serverstatus absichern lässt, ist in der Apache-Dokumentation beschrieben.


Baron Münchhausen. 05. Nov 2012

Falsch konfigurierte Websites ergibt einfach keinen Sinn. Wohl eher falsch konfigurierte...

Korashen 05. Nov 2012

Es stimmt schon, dass der Apache-Status hier nicht das Problem ist, sondern eben die...

Spaghetticode 03. Nov 2012

Da habe ich keine Übermittlung von Passwörtern über URL-Parameter gesehen. Dass kein SSL...

Vanger 02. Nov 2012

Auf meinen Bug-Report vom 17.10.2012 habe ich nur ein "Not a bug" zurückbekommen... Der...

dabbes 02. Nov 2012

Was ist daran unseriös? Nur weil du es als anstößig empfindest muss es ja nichts...

Kommentieren



Anzeige

  1. Systemadministrator/in Schwerpunkt E-Mail und DNS
    Zweckverband Kommunale Informationsverarbeitung Baden-Franken, Heidelberg
  2. Process Owner (m/w) IT Financial Management - Methoden und Prozesse
    Daimler AG, Stuttgart
  3. Enterprise Architect (m/w)
    Genesys Telecommunications Laboratories GmbH, Munich, Darmstadt (home office possible)
  4. SAP Spezialist / Consultant FI/CO (m/w)
    Endress+Hauser InfoServe GmbH+Co. KG, Freiburg im Breisgau

 

Detailsuche


Spiele-Angebote
  1. NEU: Ryse: Son of Rome (PC Steam Code)
    15,97€ USK 18
  2. Grim Fandango Remastered
    11,89€
  3. NEU: Assassins Creed Unity PC Download
    29,97€

 

Weitere Angebote


Folgen Sie uns
       


  1. Autoeinbruch

    BMW Connecteddrive gehackt

  2. Satelliten

    Das Internet hebt ab

  3. Jugendschutz

    Jugendmedienschutz fordert Filter für Facebook und Youtube

  4. Solid Energy

    Neuer Akku schafft doppelte Energiedichte

  5. Lego

    Klötzchenspiele mit Jurassic Park und den Avengers

  6. Motorola

    Kitkat-Update fürs Razr i erreicht Deutschland

  7. Hat noch Potenzial

    Neustart für Googles Glass

  8. Falsche Planung

    Google bestätigt Lieferengpässe beim Nexus 6

  9. Finanzierungsrunde

    Spotify bewertet sich selbst mit 8 Milliarden US-Dollar

  10. Samsung

    Weniger Zwangs-Apps in neuem Touchwiz



Haben wir etwas übersehen?

E-Mail an news@golem.de



Sentry Eye Tracker ausprobiert: Nur Anfänger starren auf die Mini-Map
Sentry Eye Tracker ausprobiert
Nur Anfänger starren auf die Mini-Map
  1. Mad Catz Mobiler Alleskönner-Controller Lynx 9 vorgestellt
  2. Smartpen Livescribe 3 lernt Android
  3. Eingabegerät Apple erhält Patent für funkenden Stift

Präsenz ist die neue Immersion: Die Zukunft von Virtual und Augmented Reality
Präsenz ist die neue Immersion
Die Zukunft von Virtual und Augmented Reality
  1. WebVR Oculus-Support im Firefox Nightly
  2. Virtual Reality Facebook sucht Oculus-Experten
  3. Magic-Leap-Patente AR-Brille lässt Herzen in OP-Sälen schweben

Sony Alpha 7 II im Test: Fast ins Schwarze getroffen
Sony Alpha 7 II im Test
Fast ins Schwarze getroffen
  1. Systemkamera Olympus kündigt neues Modell im OM-D-System an
  2. Seek XR Wärmebildkamera mit Zoom für Android und iOS
  3. Geco Mark II Federleichte Actionkamera für den Brillenbügel

    •  / 
    Zum Artikel