Gestern noch gelästert über Sicherheit, heute hat es mich selber erwischt.

Über ein altes Projekt, das ich schon abschalten wollte, ist es Angreifer:innen gelungen einen File-Browser auf einem meiner Webserver zu installieren.

Damit ist dann auch nicht völlig auszuschließen das auch Config-Dateien von anderen Projekten auslesbar waren, die dann Token und Passwörter enthalten.

(1/2)

Trotzdem bin ich zufrieden, auf dem Server liegen größtenteils nur Projekte die mit einem Headless-CMS kommunizieren.

Auch Passwörter und Zugänge in andere System sind Begrenzt auf ein Projekt und was sie benötigen.

Alle Seiten hängen an einem Deploy, sollten diese Schadcode enthalten kann ich sie einfach überschreiben.

Einzig ärgerlich ist der Aufwand vorsorglich alles auszutauschen. Aber die ganzen Mühen im Vorfeld haben sich jedenfalls gelohnt.

(2/2)

Follow

Oh, für mich, ich habe möglicherweise einen API-Key ihres Bots gefunden, dann kann ich denen jetzt auch ein paar Dinge schicken... 💣

· · Web · 0 · 0 · 1
Sign in to participate in the conversation
Node001

The social network of the future: No ads, no corporate surveillance, ethical design, and decentralization! Own your data with Mastodon!