:::: MENU ::::

Easter Egg de PHP, un peligro a tener en cuenta

Como ya sabréis, los Easter Egg son bromas que incluyen algunas compañías de Software en sus productos para reirse un rato. Obviamente, si vemos un Easter Egg en un juego no va a pasar nada, hay Easter Eggs en la mayoría de juegos, e incluso en sitios web, por ejemplo en Google o Youtube (haciéndo click los veréis). Incluso hay algunos más currados en videojuegos que han interferido en la vida real, por ejemplo este Easter Egg de Trials explicado por Alexelcapo, el cual, personalmente, me emocionó.

Una vez sabemos lo que son los Easter Eggs, vamos a ver en que afecta a PHP. PHP posée un easter egg en el cual si entras en una página web (que use php) con este GET: ‘?=PHPE9568F36-D428-11d2-A769-00AA001ACF42‘ podremos apreciar una imágen (hay más Easter Eggs, pero no los indicaré aquí). Lo primero que nos dice esta imagen es que usamos PHP, y lo segundo es la verisón, puesto que cada par de versioens PHP cambia la imagen según el esquema que tenemos aquí abajo:

Tabla de versiones e Easter Eggs.

Tabla de versiones e Easter Eggs.

¿En qué nos perjudica esto?
Al saber nuestra versión de PHP, el atacante puede buscar vulnerabilidades de dicha versión y utilizarlas en nuestra contra, por ello es recomendable desactivar el Easter Egg (como indicaré aquí abajo) y además conviene actualizar siempre a la última versión. Además, en este artículo de Detectify podrás encontrar listas de vulnerabilidades para cada ‘imagen’ proporcionadas por CVE.
Además apareceremos como vulnerables en la mayoría de escáneres de pentesting, podemos ver un ejemplo del mismo Detectify aquí abajo.

Detectados por Detectify

Detectados por Detectify

¿Cómo lo desactivo, entonces?
Muy fácil, solo tenemos que poner a ‘Off’ el parámetro ‘php_expose’ del archivo de configuración de PHP, conocido como php.ini.

Además
Con eso también desactivas el ‘X-Powered-By’ de PHP, que es un header que envía PHP al procesar la página en el cual se indica su versión.

X-Powered-By

Header X-Powered-By

Disfrutad del fin de semana :D