1

Antes de nada quiero recalcar que estoy aprendiendo PHP, no estoy usando ninguna librería, ni framework ni ninguna historia de tal tipo, el código está hecho desde 0 para aprender. Nunca he formulado una pregunta, siempre me busco la vida, pero este caso me ha dejado bastante preocupado.

Dicho esto, preparando un sistema de registro de usuarios me asaltó la siguiente duda:

Mientras programaba, en una llamada/petición AJAX me pregunté si un atacante, desde las herramientas del desarrollador podría modificar el código JS para hacer una especia de bypass a otro archivo preparado en su propio equipo para atacar a la base de datos.

Un ejemplo del archivo que busca si un usuario está en la base de datos:

        xhr.open("POST", "findUser.php", true);

Si ahora alguien cambia esto por esto otro:

        xhr.open("POST", "localhost/attack.php", true);

La idea es que ese archivo (llamémosle attack.php) tuviera un include que apuntara al archivo donde tengo las variables preparadas en mi servidor para conectarse a la base de datos, y si usara la variable (suponiendo que conoce el nombre) hiciera una consulta que destruyera una tabla...

He preparado un esquema sencillo para resumirlo: introducir la descripción de la imagen aquí

La cosa es que he hecho la prueba, creando un archivo para atacar, y desde una ip externa lo he iniciado desde el navegador (no lo he hecho desde AJAX porque estoy seguro que va a ser lo mismo), sin embargo no ha dado ningún tipo de resultado, pero teniendo en cuenta que no tengo experiencia en el campo de la seguridad no puedo evitar preocuparme.

Resumiendo, lo que quiero saber es qué alcance tiene un archivo PHP, si sólo se ejecuta en el servidor o puedo pedirlo desde otro...

3
  • encontre esto, quizas te ayude a resolver tu duda: stackoverflow.com/questions/9061534/…
    – Cesarin
    Commented el 11 abr. 2020 a las 18:51
  • No, es que no se trata de eso, voy a modificar la pregunta porque es evidente que no la he formulado bien. De todas formas muchísimas gracias por tu tiempo. Commented el 11 abr. 2020 a las 18:58
  • Creo que tu pregunta es clara, mejor espera a otras respuestas mas claras y precisas que la mia. Saludos
    – Cesarin
    Commented el 11 abr. 2020 a las 19:01

2 respuestas 2

2

Veo aquí varios detalles a explicar sobre seguridad.

Primera observación: Para que un servidor PHP ejecute un archivo/fichero PHP, este debe residir en el servidor, dentro del directorio raíz del proyecto o sitio. Lo anterior es cierto para la mayoría de los proyectos web construidos en distintas plataformas, sea .Net, Java u otros. Por lo anterior, nadie podría correr un archivo PHP desde su ordenador/computadora en tu servidor. Tu experimento, si lo he entendido bien, no podrá afectar el desarrollo.

Segunda observación: no deberías tener credenciales guardadas directamente en un archivo PHP, en todo caso deberías tenerlas en un archivo .env . Incluso, más allá del archivo env los servicios de nube ofrecen más medidas de seguridad como los recursos "vault" que agregan seguridad y encriptación a las credenciales y las mantienen disponibles para ser llamadas por nuestro desarrollo PHP.

Tercera observación: es por todo lo anterior que mucho del trabajo de seguridad web es la seguridad del mismo servidor, evitar intrusos que puedan insertar un archivo dañino al desarrollo y correrlo de alguna manera, pero ese tipo de trabajo de seguridad trasciende al propio PHP o cualquier servidor, es trabajo de seguridad generalmente de los departamentos DevOps. Lo anterior es cierto también para el servidor de base de datos.

Si me permites sugerir, para finalizar, te recomiendo leer o ver un video del OWASP TOP 10. La OWASP es una organización dedicada a la seguridad web de los desarrollos, y mantienen una lista con el TOP 10 de riesgos y tipos de ataques. https://es.wikipedia.org/wiki/OWASP_Top_10

2
  • Entiendo... Entonces asumo que un atacante no podría realizar este procedimiento porque el propio servidor no proporciona ningún archivo PHP fuera del entorno local. Sobre lo de los archivos env, antes de preguntar aquí he estado hablando con un amigo y me ha comentado eso mismo que me cuentas, pero básicamente me he excusado con el hecho de que estoy aprendiendo. No obstante lo tengo en cuenta y voy a documentarme sobre ello. Respecto al enlace, te agradezco muchísimo esta información, me va a ser de mucha utilidad! Un saludo. Commented el 11 abr. 2020 a las 19:19
  • Correcto, el atacante no podría hacer específicamente eso... Sin embargo, si tu servidor PHP permite acceso remoto (lo que hoy muy normal), y de alguna forma el atacante se infiltra porque consiguió el usuario y contraseña o porque estos son muy débiles, eso sí podría ser desastroso. Si te ha servido la respuesta por favor acéptala. Muchas gracias. Commented el 11 abr. 2020 a las 19:29
1

Si eso fuera posible, no seria necesario tener acceso al javascript, lo podría hacer el atacante desde su maquina o cualquier otra.

Como reglas generales:

El front end web debe considerarse inseguro desde la perspectiva del servidor. Esto significa que el servidor debe validar todo lo que le llega y no asumir que el cliente web ya hizo la verificación.

Cuando usas ajax, sólo permitirá ejecutar llamadas si el script que tiene el ajax se descargó del serividor al que le estas haciendo la llamada siguiendo la politica de same origin.

En el caso en que el cliente esté en otro origin, en el servido deberás configuar cors para que solo el origen autorizado pueda hacer llamadas con ajax.

Si tu preocupación es que alguien pueda usar las herramientas de desarrollador desde la misma maquina del usuario:

1- Las herramientas de desarrollador no dan mas acceso al usuario del que ya tiene. A lo sumo puede romper algo en el front end y se joroba el usuario mismo.

2- Si el exploit usando estas herramientas tiene que ver con un usuario autenticado, bueno entonces se necesitaria el concentimiento del usuario autenticado que está usando la maquina. Como ya dije, las herramientas pos si solas no dan más acceso del que se tiene.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.