Reconocer la superficie web

La primera superficie de una aplicacion no es su codigo, es su respuesta. Una respuesta HTTP normal trae cabeceras, y muchas instalaciones dejan ahi escrito el servidor y su version exacta —Server y X-Powered-By—. Eso no es un ataque de nadie: es la aplicacion contando de que esta hecha, y con la version exacta un atacante busca directamente los fallos conocidos de ese numero. El auditor lo anota como exposicion de informacion y recomienda ocultarlo.

En el laboratorio abre respuesta-http.txt y mira las cabeceras. Aqui solo se fija el criterio: la version en la cabecera es un dato a cerrar, no un adorno.

Una aplicacion bien asegurada, cuando algo falla, responde con un mensaje corto y neutro. Una mal configurada muestra el error completo: la ruta del archivo, la linea, a veces parte de una consulta. En index.php de Monteapps esta puesto display_errors en 1, asi que cualquier fallo se le muestra al visitante. El auditor lo marca porque cada error detallado es un mapa gratis de como esta construida la aplicacion por dentro.

Mostrar el error al visitante ayuda a quien desarrolla en su maquina y perjudica en produccion, donde el visitante es cualquiera.

La carpeta publica de una aplicacion sirve lo que cualquiera puede pedir por la web. Todo lo que caiga ahi por error —un respaldo del sitio, un config.old, un volcado de la base— queda descargable sin pedir permiso. En Monteapps la carpeta descargas tiene el listado abierto y sirve respaldo-sitio.zip y config.old con credenciales. El auditor no lo descarga para abusar: constata que esta expuesto y recomienda sacarlo de la raiz publica.

El listado de directorios abierto empeora el fallo: ni siquiera hay que adivinar los nombres, el servidor los enumera.

El reconocimiento se cierra con un hallazgo anotado, no con una sensacion. Abre en el laboratorio la nota de triaje de la carpeta auditoria de Monteapps, que describe el respaldo expuesto, su clasificacion y su arreglo, y lee el codigo que el auditor le asigno al final. Ese codigo es lo que identifica el hallazgo en el informe.