☰

為什麼 PCI 掃描會因為未安裝元件而失敗？

tag-icon • tag-icon windows-server-2003 iis-6 pci-dss
為什麼 PCI 掃描會因為未安裝元件而失敗？

最近對 Web 伺服器執行 PCI 掃描，結果失敗。有些問題可以解決，但其他問題對我來說根本沒有意義。

這台機器是全新安裝的，只運行兩個東西，.NET 3.5 網站和 dotDefender Web 應用程式防火牆。

但有幾個類似的錯誤：

Web 伺服器漏洞 影響：/servlet/SessionServlet：發現 JRun 或 Netware WebSphere 預設 servlet。應從伺服器中刪除所有預設程式碼。風險因子：中/ CVSS2 基本評分：6.4 CVE：CVE-2000-0539

我不確定這是什麼，但我在伺服器上找不到任何看起來像這樣的東西。

Web 伺服器漏洞 影響：/some.php?=PHPE9568F35- D428-11d2-A769-00AA001ACF42：PHP 透過某些包含特定 QUERY 字串的 HTTP 請求洩露潛在的敏感資訊。危險因子：中/ CVSS2 基本評分：5.0

PHP 未安裝。嘗試將該查詢字串新增至任何頁面不會執行任何操作，因為應用程式會忽略它。執行該phpVersion檢查會導致 404 錯誤。

Web 伺服器漏洞影響：/admin/database/wwForum.mdb：Web Wiz Forums pre 7.5 容易受到跨站點腳本攻擊。預設登入名稱/密碼是管理者/letmein 風險係數：中/ CVSS2 基本分數：4.0

有幾個這樣的錯誤，告訴我Web Wiz Forums、Alan Ward A-Cart 2.0、IlohaMail 等都容易受到攻擊。在我能找到的任何地方都沒有安裝或引用這些。

甚至還有對根本不存在的頁面的引用，例如 OpenAutoClassifieds。

誰能指出正確的方向，解釋為什麼會出現這些錯誤，或者如果這些組件實際上已安裝，我可能會在哪裡找到這些組件？

注意：該網站和伺服器適用於主網站的子網域。主網站在運行 Apache/PHP 的伺服器上運行，但我無權訪問該伺服器。報告稱子域名是被掃描的網站，但它有可能也掃描了主網站嗎？

答案1

簡短的回答：不會。

長答案：發生了三件事之一：

  1. 正如@HopelessN00b 所說，您的審計員掃描了錯誤的機器。
    （這是最有可能的情況 - 您說 PCI 網站是一個子網域，而其上方的網站位於 Apache/PHP 網站上，因此他們完全有可能掃描網站並發現他們列出的漏洞）

  2. 您的機器很快就受到了損害。
    （是的，這種情況也會發生——不過，如果您檢查了機器並發現審核結果無效，我認為我們可以排除這種情況。）

  3. 你的安全審核員是個白痴
    （不要雇用那個人！）

由於根據您告訴我們的情況，#1 最有可能，請找出哪台機器（主機名和IP 位址）審核員掃描，確認它是正確的機器，如果不正確，則重新進行掃描。

也要親自針對主伺服器檢查這些漏洞（如果它們確實有效，請讓負責方修復它們）。這些都是相對嚴重的問題，儘管可能存在（事實上根據 PCI 標準）必須）將持卡人資料設備與您的其他站點分開，如果您不解決這些問題，您將繼續在審核中提出危險信號。
（如果您的主網站位於運行所有這些內容的共享託管提供者上，您可能需要考慮將其移至專用的盒子或 VPS 上，以讓您安心無憂。）

相關內容