Joder, que tengo expuesto /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php.
Afortunadamente, no parece funcionar la CVE-2017-9841
Pero es otro path al que puede acceder una app maliciosa que busque sitios php a los que acceder.
Y cómo cierro esto. Dónde está.
Puedo acceder desde la web pero no desde ssh.
@microblogc eso suena a Composer o algo para instalar dependencias igual. ¿Es una aplicación en concreto de terceros que te has instalado? ¿Cuál?
A lo que te dicen más abajo, con configuración de Apache diría que puedes cortar el acceso por URL con directivas Location + Require. Lo que no sé muy bien como interactúa eso con usar ficheros .htaccess porque les tengo algo de tirria.
He ido mirando en mi web a dónde apuntaban los GET rarunos de fingerprinting. Probé este y resultó que funcionó, por eso luego lo busqué entre los CVE.
Debe de ser un Alias en /etc/apache2.conf, pero no puedo acceder a ese archivo (está oculto para mí, o quizá es que es un alias gestionado a nivel de todo el host, no solo mi VPS).
He probado a bloquearlo de tres maneras, y ninguna a funcionado:
- Creando un archivo llamado así en mi host.
- Añadiendo un Redirect
- Usando mod_rewrite (lo cual es muy complicado porque nunca he acabado de entender cómo funciona).
@microblogc para mi un VPS es algo a lo que puedo entrar por SSH y soy root, si no suena más a hosting compartido (aunque tenga algún tipo de SSH).
Si es un hosting compartido, no es tan raro que configuren algo tipo mod_security para protegerse ellos mismos. Estas cosas bloquean muchos patrones de tráfico fraudulento y quizá por eso te devuelve un "x".
Igual tienen documentadas las medidas que aplican al hosting compartido o les puedes preguntar. No está de más saber qué hay.
@microblogc si por acceder desde la web te refieres con phpadmin o similar, renombra la carpeta a cacotas , al menos lo mitigas
@microblogc desde la web puedes tocar ficheros .htaccess? Bueno, asumo que corre sobre Apache. Si es así, corta de raíz el acceso a esa ruta.
@jmdaweb No puedo cortarlo porque no sé dónde está la ruta real del archivo. No parece estar en la carpeta php del servidor.
@jorge No, puedo acceder desde domino/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php
Pero no sé donde está ese /vendor en mis carpetas locales. no está en la carpeta de /domino.
Aparentemente la CVE en cuestión está mitigada porque, envíes lo que envíes, devuelve "x". Pero *alguien* podría enviar un fichero grande.