Nivel 2 · 2B Archivos expuestos · Lección 1 de 2
Qué archivos nunca deben ser públicos
Un sitio web es una carpeta de archivos en un servidor. Todo lo que está dentro de la parte pública lo puede descargar cualquiera que sepa (o adivine) el nombre. Y adivinar es fácil: hay programas que prueban miles de nombres comunes por minuto.
Los que más daño hacen
El archivo .env guarda claves y datos secretos de la aplicación. La carpeta .git guarda todo el historial del código, con versiones viejas incluidas. Las copias de la base de datos (.sql, .bak) tienen todos los datos de los clientes. Las planillas de clientes son una filtración de datos personales. Y los archivos de credenciales abren las puertas de la nube.
Otro problema es el listado de carpeta: si el servidor está mal configurado, muestra la página "Index of /archivos/" con la lista de todo lo que hay adentro. Es como dejar la puerta abierta y el inventario pegado en la vidriera.
Para ir más a fondo
Mirar sin tocar
curl -I https://TU-SITIO.com/.env
curl -I https://TU-SITIO.com/.git/config- Con curl -I pedís solo el encabezado de la respuesta, sin descargar nada.
- Si ves 404 (no existe) o 403 (prohibido), bien. Si ves 200, abrilo (curl https://TU-SITIO.com/.env | head) y fijate si es de verdad el archivo o tu página de inicio: algunos sitios responden 200 a todo. Si es el archivo, está expuesto y hay que sacarlo ya.
- Hacelo SOLO con sitios tuyos. Probar archivos en sitios ajenos sin permiso no es un juego.
Preguntas de repaso
Un archivo llamado ".env" suele guardar...
Respuesta: Claves y datos secretos de la aplicación. Con esas claves se puede entrar a la base de datos, al mail o a los pagos. Nunca debe estar en la carpeta pública.
El archivo robots.txt le pide a los buscadores que no entren a /privado/. ¿Protege esa carpeta?
Respuesta: No: es solo un pedido, cualquiera puede entrar igual. robots.txt es un cartel de "por favor no pasen", no una cerradura. De hecho, avisa dónde hay algo.
Un servidor muestra "Index of /archivos/" con la lista de todos los archivos. ¿Qué problema es?
Respuesta: Listado de carpeta expuesto: muestra qué hay para descargar. Le regala al atacante el inventario. Se desactiva en la configuración del servidor, y lo privado no debe estar ahí.