Bazı web sunucuları, yapılan isteklere verdikleri yanıtlarda kendi iç IP adreslerini açığa çıkartmaktadır.

Yapılan özel bir HTTP GET isteği sonucunda, hedef web servisi “3XX Object Moved” HTTP hata mesajı yanıtı ile birlikte sunucu iç IP adresini veya makina adını açığa çıkartabilir.

Bu güvenlik problemini kontrol eden bir yazılım hazırladım. Internal IP Address Disclosure Scanner yazılımını buradan indirerek kendi sistemlerinizi test edebilirsiniz.

Örnek Kullanım ve Problemin Giderilmesi

Şirketinizin IP bloğunun 151.13.117.0/24 olduğunu düşünelim. Nmap’le 80. port’tan servis veren tüm web sunucularını tespit edip, bu sunucuların iç IP adreslerini bulmaya çalışalım.

$ for ip in `nmap -PN -sT -v -p 80  151.13.117.0/24 |grep Disco |cut -d’ ‘ -f6`; do ~/scanner-http-internal-ip-disclosure.py $ip; done
Web server internal IP address disclosure
Target: 151.13.117.18:80, Internal IP: 10.0.0.18, Directory: /images)
Web server internal IP address disclosure
Target: 151.13.117.63:80, Internal IP: 192.168.3.1, Directory: /aspnet_client)
Web server internal IP address disclosure
Target: 151.13.117.62:80, Internal IP: 10.0.0.62, Directory: /aspnet_client)
Web server internal IP address disclosure
Target: 151.13.117.210:80, Internal IP: 192.168.1.8, Directory: /)
Web server internal IP address disclosure
Target: 151.13.117.28:80, Internal IP: 10.0.0.28, Directory: /images)

Yukarıdaki döngü 151.13.117.0/24 network’ünde bulunan her bir web sunucu için, Internal IP Disclosure Scanner’ı çalıştırıyor.

Problemin Giderilmesi

Web sunucunuz iç IP adresini açığa çıkartıyorsa, aşağıdaki adımları takip ederek problemi giderebilirsiniz.

IIS Web Sunucusu için
Microsoft’un Internet Information Server returns IP address in HTTP header makalesine göz atın.

Apache Web Sunucusu için
* Apache konfigürasyonunda, “ServerName” değerini sunucunun FQDN’i olacak şekilde değiştirin (Örneğin: www.sertankolat.com)
Veya
* mod_rewrite modülünü kullanarak, sunucu tarafından verilen 3xx hata mesajlarını değiştirin

Nginx Web Sunucusu için
Nginx konfigürasyonunda “server_name” değerini sunucunun FQDN’i olacak şekilde değiştirin (Örneğin: www.sertankolat.com)