Bardzo poważny błąd w serwisie republika.pl

W serwisie www.republika.pl występuje bardzo poważny błąd, który pozwala pobrać prawie wszystkie pliki dostępne na serwerze oraz co ważniejsze pobrać plik z hasłami do wszystkich kont.

Błąd jest nadzwyczaj prosty. I tak, aby dostać się przykładowo do katalogu root (katalog administratora) wystarczy, że w adresie przeglądarki wpiszemy następujący adres:

http://www.republika.pl///root/

Tym samym otrzymamy listę z całą zawartością tego katalogu. Co ważniejsze po krótkiej analizie w katalogu tym znajduje się skrypt który generuje informacje na temat wszystkich kont oraz haseł i składuje je w jednym miejscu (w jakim nie będziemy zdradzać ale plik z hasłami ma około 41 mb)

Oczywiście można też sprawdzić pozostałe katalogi dostępne na serwerze, takie jak:

http://www.republika.pl///etc/
http://www.republika.pl///var/
http://www.republika.pl///usr/

Teraz wystarczy odrobina wyobraźni oraz znajomość katalogów i plików jakie występują w systemie Linuks aby pobrać bardzo ciekawe informacje.

Podziękowania dla Spiral’a.

aktualizacja (2004-04-18 01:20): Opisywany błąd został poprawiony.