公開されてしまっていた、忘れていたファイル

サイトをビルドしてアップロードすると、ページ以外のものも一緒に残ることがあります。データベースのバックアップ、設定ファイル、フォルダーの一覧、ログファイルが、公開アドレスに置かれてしまうことがあります。

どこからもリンクされていないため、隠れているように感じられます。しかし、隠れてはいません。攻撃者は訪れたサイトすべてに対して、/backup.zip、/.env、/.git/ のような、よくあるファイル名を試します。

残ってしまうもの

• 設定ファイル。データベースやメールサービスのパスワードが含まれているもの。
• バックアップ。データの完全なコピーが含まれているもの。
• フォルダーの一覧。忘れていたものを含め、フォルダー内のすべてのファイルが表示されるもの。
• エラーページやデバッグページ。サイトの内部の仕組みが見えてしまうもの。
• ソースコードの履歴。開発者が変更を保存するために使うツールに残っているもの。

robots.txt やサイトマップも、これらのファイルを指し示している場合があります。これらは検索エンジンに、どこを読まず、どこを読むかを伝えるもので、誰でも読めます。

対処方法

公開中のサイトからファイルを削除し、その中に取り替えが必要なものがないか確認してください。漏えいしたパスワードは、隠すだけでなく変更する必要があります。アップロードやビルドの工程で、公開されるのがサイト本体だけになっているか確認してください。また、ホスティングサービスでフォルダーの一覧表示をオフにしてください。

スキャンは、よくあるファイル名の短く慎重に選んだ一覧を確認します。ファイルがあるかを確かめるのに必要な分以上は、決してダウンロードしません。