Fichiers de sauvegarde de la base de données WordPress

Que sont les fichiers de sauvegarde de base de données ?

Il existe de nombreux outils et plugins WordPress qui vous permettent de créer une sauvegarde de votre base de données et de l’exporter vers un fichier. Parfois, ces fichiers de sauvegarde peuvent se retrouver dans des emplacements accessibles au public et avec des noms prévisibles, tels que backup.sql, database.sql, example.com.sql, etc.

Quels sont les risques de sécurité liés aux exportations de fichiers de sauvegarde de bases de données WordPress ?

Comme mentionné ci-dessus, si ces exportations de fichiers de sauvegarde de base de données sont laissées dans un répertoire accessible au public sur le serveur Web avec un nom de fichier prévisible, un attaquant peut facilement y accéder. Tout ce que l’attaquant doit faire est de deviner le nom correct du fichier de sauvegarde et son répertoire pour télécharger le fichier.

Les fichiers de sauvegarde des bases de données contiennent généralement l’intégralité du contenu de la base de données WordPress. Il peut s’agir de mots de passe utilisateur hachés, d’articles de blog privés, d’URL de médias sensibles, de données client sensibles, de détails de paiement, etc.

Si un attaquant peut accéder à une sauvegarde de votre base de données WordPress, cela pourrait avoir pour conséquence de compromettre entièrement votre site Web, ou de voir vos utilisateurs chercher à intenter un procès en raison de lois sur la protection de la vie privée telles que le règlement général européen sur la protection des données (RGPD).

En 2018, Ryan Dewhurst, un fondateur de WPScan, a effectué des recherches sur la sécurité pour évaluer le risque d’exportation de fichiers de sauvegarde de bases de données vers des emplacements accessibles au public. Au cours de ses recherches, il a identifié 736 fichiers de sauvegarde de base de données accessibles au public au sein du Top 1 Million de sites web d’Alexa, et que 39% des sites web concernés exécutaient WordPress.

Comment vérifier les fichiers de sauvegarde accessibles au public

Notre scanner de sécurité WordPress WPScan à interface de ligne de commande peut énumérer les fichiers de sauvegarde du point de vue extérieur d’un attaquant, comme indiqué ci-dessous.

Plugin de sécurité WordPress WPScan
La commande à exécuter pour énumérer les fichiers d’exportation de la sauvegarde de la base de données est la suivante :

wpscan --url http://example.com/ -e dbe

Vous pouvez en savoir plus sur l’utilisation de l’outil WPScan CLI dans notre documentation utilisateur.

Plugin WordPress WPScan

Notre plugin de sécurité WordPress vérifiera 36 noms et emplacements de fichiers de sauvegarde différents. Lorsqu’il en détecte un, il affiche l’avertissement comme indiqué ci-dessous.

Conclusions

Si vous utilisez un outil ou un plugin WordPress pour exporter votre base de données vers un fichier, assurez-vous que vous ne l’exportez pas vers un emplacement accessible au public. Assurez-vous également que le nom du fichier d’exportation est aléatoire afin qu’il ne puisse pas être deviné, au cas où il se retrouverait dans un emplacement accessible au public.

Vous pouvez utiliser notre scanner de sécurité WordPress et notre plugin de sécurité WordPress pour vérifier les fichiers de base de données exportés.

Si vous constatez que votre base de données est accessible au public, vérifiez les fichiers journaux d’accès de votre serveur Web pour voir si quelqu’un a accédé au fichier dans le passé. Si quelqu’un a accédé au fichier par le passé, vous devrez changer tous vos mots de passe et ceux de vos utilisateurs, informer vos utilisateurs de la violation et suivre toutes les autres lois sur la sécurité et la confidentialité en vigueur dans votre pays, ce qui peut impliquer de notifier le bureau du commissaire à l’information (ICO).

Photo by Markus Spiske from Pexels

Author avatar
Yvon
https://oeildelynx.net