Une mine d'or pour les hackers
Il est courant que les développeurs ou les administrateurs système laissent accidentellement des fichiers sensibles accessibles publiquement à la racine du serveur web. Ces fichiers peuvent contenir des mots de passe, des clés API ou la structure interne de votre application.
Types de fichiers recherchés
Sauvegardes (Backups)
Fichiers oubliés comme backup.sql, site.zip,
database.dump contenant toutes vos données.
Configuration
Fichiers comme .env, wp-config.php.bak,
config.php.old exposant les identifiants de base de données.
Contrôle de Version
Dossiers .git/, .svn/ ou .hg/ exposés,
permettant de télécharger tout votre code source.
Logs et Debug
Fichiers error_log, debug.log contenant des traces
d'erreurs et des données utilisateurs.
Scénarios d'attaque
L'accès à un seul de ces fichiers peut mener à une compromission totale :
Impact Direct
- Vol de Base de Données : Via un dump SQL accessible.
- Compromission du Serveur : Via des clés API ou mots de passe FTP trouvés dans un fichier de config.
- Découverte de Failles : L'analyse du code source (via .git) révèle des vulnérabilités cachées.
Sécurité par l'obscurité ? Non.
Compter sur le fait que "personne ne devinera le nom du fichier" est une erreur. Les attaquants utilisent des scripts automatisés (fuzzing) qui testent des milliers de noms de fichiers courants par seconde.