Fiecare informație scursă despre serverul dvs. ar putea fi problematică. Chiar și bannerul Apache, dacă nu îl dezactivați în httpd.conf, se scurge, ar putea duce la un compromis. Accesați exploit-db.com și uitați-vă, de exemplu, la toate vulnerabilitățile împotriva Apache. Rețineți că majoritatea afectează versiunile specifice. Deci, acum, cu phpinfo care expune aceste informații, este simplu pentru un copil cu script să atace automat sistemul dumneavoastră. Ceea ce, chiar dacă este corectat, poate provoca probleme, cel puțin întreruperi în trafic. În timp ce, dacă nu au o versiune, în general, nu vor rula nimic. Multe mod-uri apache au avut probleme în trecut - un alt lucru expune phpinfo. Anumite exploit-uri locale rulează pe anumite nuclee - phpinfo din nou...
De asemenea, arată ce db utilizați - așa că imediat un atacator știe ce comenzi să încerce să folosească pentru a efectua atacuri de injecție SQL. Și anumite versiuni sunt vulnerabile la anumite exploit-uri.
De asemenea, puteți ghici din phpinfo informații cum ar fi numele de utilizator, formatul numelor de utilizator, structura directoarelor... unele atacuri trebuie să cunoașteți structura directoarelor, cum ar fi atacurile PUT, unde de obicei atacatorul trebuie să facă o ghicire educată, dar phpinfo pune aceste informații acolo.
Chiar și informații precum administratorul serverului pe care îl puteți căuta apoi pe google și poate găsi problemele de securitate pe StackExchange...
Practic, phpinfo este un meniu mare pentru orice atacator potențial. Acoperă *** aia. Și în timp ce sunteți la asta, ascundeți versiunile bannerului, dacă nu aveți nevoie de aceste informații dintr-un motiv oarecare.
