Abo
  • Services:
Anzeige
Apache Server Status
Apache Server Status (Bild: Screenshot Golem.de)

Apache Server Status: Falsch konfigurierte Websites verraten Passwörter

Apache Server Status
Apache Server Status (Bild: Screenshot Golem.de)

Zahlreiche Websites, darunter auch sehr große, geben jedem Einblick in den Status ihrer Apache-Server, bei wenigen tauchen dort auch Passwörter von Nutzern auf.

Daniel Cid vom Sicherheitsunternehmen Sucuri ist der Frage nachgegangen, welche Websites ihren Apache Server Status für jeden lesbar ins Netz stellen. Er hat dazu rund 10 Millionen Websites automatisiert überprüft und dabei zahlreiche Websites gefunden, bei denen das der Fall ist. Die entsprechende Liste hat Cid unter urlfind.org ins Netz gestellt.

Anzeige

Darunter sind bekannte Websites wie php.net, cloudflare.com, disney.go.com, latimes.com, staples.com, tweetdeck.com, nba.com, ford.com, cisco.com und apache.org. Letztere geben an, den Serverstatus bewusst ins Netz zu stellen, andere, wie php.net, cloudflare.com oder latimes.com, haben den Fehler nach einem Hinweis korrigiert.

Der Apache Server Status verrät, welche Zugriffe der jeweilige Webserver gerade verarbeitet, einschließlich IP-Adressen und aufgerufener URLs. Das kann mitunter zu einem Sicherheitsproblem führen, denn Cid fand auf diesem Weg unter anderem die URLs zu einigen Administrationskonsolen für Websites, die ungesichert im Netz stehen. Je nach Konfiguration lässt sich auch ablesen, wie viele Zugriffe und welchen Traffic ein Server verarbeitet.

Der Metasploit-Architekt HD Moore hat die Untersuchung von Cid mit den laut Alexa Top-100.000-Websites nachvollzogen und laut Ars Technica dabei in rund 45 Minuten 1.774 Websites gefunden, die ihren Serverstatus ins Netz stellen. Darunter auch Websites, bei denen Session-IDs oder das Anmeldepasswort der Nutzer im Klartext in der URL auftauchen, die auf der Server-Status-Seite zu sehen sind.

Wie sich der Serverstatus absichern lässt, ist in der Apache-Dokumentation beschrieben.


eye home zur Startseite
Baron Münchhausen. 05. Nov 2012

Falsch konfigurierte Websites ergibt einfach keinen Sinn. Wohl eher falsch konfigurierte...

Korashen 05. Nov 2012

Es stimmt schon, dass der Apache-Status hier nicht das Problem ist, sondern eben die...

Spaghetticode 03. Nov 2012

Da habe ich keine Übermittlung von Passwörtern über URL-Parameter gesehen. Dass kein SSL...

Vanger 02. Nov 2012

Auf meinen Bug-Report vom 17.10.2012 habe ich nur ein "Not a bug" zurückbekommen... Der...

dabbes 02. Nov 2012

Was ist daran unseriös? Nur weil du es als anstößig empfindest muss es ja nichts...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart-Feuerbach
  2. Robert Bosch GmbH, Crailsheim
  3. Dürr Systems AG, Bietigheim-Bissingen
  4. Scandio GmbH, München


Anzeige
Top-Angebote
  1. (u. a. BQ Aquaris X5 für 122,00€)
  2. 81,90€ + 3,99€ Versand (Vergleichspreis CPU ca. 60€ und Kühler 43€)
  3. 59,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. HTC D4

    Cog Systems will das sicherste Smartphone der Welt zeigen

  2. Raspberry Pi Zero W

    Zero bekommt WLAN und Bluetooth

  3. Gebäudesteuerung

    Luxusklinik vergaß IT im Netz

  4. Internet.org

    Facebook plant neue Flüge für Solardrohne Aquila

  5. Toughbook CF-33

    Panasonics Detachable blendet mit 1.200 Candela/qm

  6. Handle

    Boston Dynamics baut rollenden Roboter

  7. Leap Motion und Qualcomm

    Drahtloses VR-Headset mit Hand-Tracking ausprobiert

  8. Sandisk iNand 7350

    WD rüstet Speicher für Smartphones auf

  9. Uncharted 4

    34.000 Animationsphasen für ein Action-Adventure

  10. Aneeda und Dial

    Die Nicht-Smartwatch der Telekom wird wohl nicht fertig



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Nintendo Switch eingeschaltet: Zerstückelte Konsole und gigantisches Handheld
Nintendo Switch eingeschaltet
Zerstückelte Konsole und gigantisches Handheld
  1. Nintendo Interner Speicher von Switch offenbar schon jetzt zu klein
  2. Hybridkonsole Leak zeigt Menüs der Nintendo Switch
  3. Hybridkonsole Hardware-Details von Nintendo Switch geleakt

Blackberry Key One im Hands on: Android-Smartphone mit toller Hardware-Tastatur
Blackberry Key One im Hands on
Android-Smartphone mit toller Hardware-Tastatur
  1. Lenovo Moto Mod macht Moto Z zum Spiele-Handheld
  2. Alternatives Betriebssystem Jolla will Sailfish OS auf Sony-Smartphones bringen
  3. Digitale Assistenten Google und Amazon kämpfen um Vorherrschaft

Asus Tinker Board im Test: Buntes Lotterielos rechnet schnell
Asus Tinker Board im Test
Buntes Lotterielos rechnet schnell
  1. Tinker-Board Asus bringt Raspberry-Pi-Klon
  2. Sopine A64 Weiterer Bastelrechner im Speicherriegel-Format erscheint

  1. blöde Überschrift

    devman | 13:01

  2. Re: Sammelthema: Essen am Computer

    DebugErr | 13:01

  3. Re: Fehlt nur noch der Laser auf der Schulter

    TC | 13:00

  4. Re: Bei hoher Popularität...

    ChMu | 13:00

  5. Das Gehäuse

    co | 12:59


  1. 12:47

  2. 12:21

  3. 12:00

  4. 11:56

  5. 11:53

  6. 11:33

  7. 10:30

  8. 10:05


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel