Не могу удержаться от написания поста по поводу крупной уязвимости в SVN.
SVN — система управления версиями используемая при совместной работе над проектом нескольких разработчиков. subversion (ее полное название) позволяет значительно облегчить процесс разработки, даже если над проектом работает один человек, ввиду наличия в ней продвинутой системы создания резервных копий и удобства использования.
Но нам сейчас это не важно. Важно что любой крупный проект требует подобной системы управления версиями и так как SVN одна из лучших систем подобного рода, акулы Веба ее используют чуть-ли не поголовно.
Суть уязвимости:
SVN при установке создает скрытую директорию .svn доступ к которой по умолчанию разрешен через 80-й порт. Внутри хранится много чего вкусного: логины и адреса пользователей системы, названия изменяемых файлов проекта и точное время их модификации и что самое интересное сорцы проекта подвергшиеся изменениям к которым subversion дописывает расширение .svn-base. В результате чего файлы перестают быть исполнимыми.
Например вы не можете скачать файл index.php с сайта. потому-что веб-сервер отдает файлы .php интерпретатору на исполнение, а Вам возвращает результат работы интерпретатора (html-страницу).
Но если файл index.php подвергался корректировке то subversion обязательно создаст файл index.php.svn-base в папке /.svn/text-base/, который любой желающий может скачать себе без предварительной обработки.
Нужно ли объяснять чем это грозит.
Я провел собственный небольшой эксперимент, суть которого заключается в поиске проектов использующих SVN и до сих пор (а с момента публикации первого поста об этой проблеме прошло больше двух лет) не залатавших эту уязвимость, среди них: google.com, apache.org, php.net и многие другие.
Пруфлинки по теме:
http://www.google.com.by/search?hl=ru&client=firefox&rlz=1R1GGGL_ru___BY…
http://ru2.php.net/.svn/entries
http://apache.org/.svn/entries
Подробнее почитать по теме можно здесь:
http://habrahabr.ru/blogs/infosecurity/70330/
http://scottbarnham.com/blog/2008/04/22/serving-websites-from-svn-checko…
Согласен с автором про перспективность SVN, правда на практике руки дошли до доработки Jira. Но явно у крупных проектов этот вопрос с безопасностью выпал из поля зрения (хотелось бы верить что временно)
Хотя бы раз в год, да и происходят кибер-атаки. Вот в институтах часто преподают предмет «компьютерная безопасность» с разными словосочетаниями. Но толку от таких лекций по сути — ноль. Получается ПО создается больше, чем могут что-то проанализировать и потом выдавать в качестве знаний преподы.
На мой взгляд это проблема уже не актуальна.
Да СВН, уже не такой популярный как раньше…
Ещё как актуальна.
Один из моих сайтов заразился вирусом, как я предполагаю, через форму обратной связи, сайт был на joomla. Я не злой человек, но искренне желал тому кто это сделал всяких пакостей, в течении целого месяца. Потратив кучу времени и сил избавился от вируса.