¿Cómo ocultar o cifrar el archivo config.php o webconfig o la base de datos? [cerrado]

  

Si alguien obtiene todo el código fuente y la base de datos del sitio web pero no puede   ¿configurar de nuevo?

Lo más cercano que puede hacer es ofuscar la forma de llegar a los datos. Los lenguajes como PHP tienen una ofuscación con productos como ZendGuard. Esto evita que un usuario descubra fácilmente la lógica de una aplicación. Esto es similar a ejecutar productos de código cerrado, es posible averiguar el flujo de ejecución, solo requerirá más esfuerzo.

Si encripta algo, su aplicación aún debe tener una forma de desencriptar esos datos, como una clave. Puede intentar cargar estos datos al arrancar en la memoria, por lo que ellos (los atacantes) no pueden leerlos desde un archivo, pero estarán en el ENV, que también es accesible.

  

Si uno no puede obtener la raíz en el servidor, no pueden eliminar todos los archivos de registro. ¿Cómo puede alguien hacerse cargo de los privilegios de root o editar chmod?

Por lo general, al adivinar las credenciales locales o un exploit de escalado de privilegios locales.

  

Excepto la herramienta hashcat, ¿cuál es la mejor forma de verificar el tipo de cifrado de contraseña?

No está seguro de lo que quiere decir con "tipo de cifrado de contraseña", cualquier usuario de contraseñas (como JohnTheRipper) realizará una ronda inicial para determinar qué algoritmo de hash se utiliza.

1: si alguien tiene acceso a su servidor, nada de esto ayudará. Si la aplicación puede hacer una consulta a la base de datos, la aplicación puede cambiarse para hacer una consulta arbitraria.

Una cosa que puede hacer es usar cuentas de base de datos separadas para, por ejemplo, leer y escribir, o para información confidencial y no confidencial. Entonces, la inyección de SQL solo comprometerá a uno de ellos, aunque eso realmente no te compre mucho.

2: Alguien obtiene el privilegio de root de una cuenta de usuario mediante el uso de un "ataque de escalada de privilegios". Pueden explotar una vulnerabilidad de kernel o controlador, un programa setuid inseguro o adivinar la contraseña de root. Tenga en cuenta que un atacante no necesita necesariamente acceso a la raíz para causar daños: con una cuenta de usuario, generalmente pueden leer sus datos, configurar la persistencia, pasar a otros servidores, etc. Probablemente no puedan obtenga las contraseñas de su sistema operativo, instale un rootkit del kernel o borre los registros, así que definitivamente hay algunas ventajas para obtener root.

3: se trata de un hash de contraseña, no de cifrado de contraseña. Hashcat es probablemente la herramienta más popular, pero una herramienta más antigua que podrías investigar se llama "John the Ripper" (preferiblemente con el "parche Jumbo").

Si alguien tiene una raíz en su servidor, oculta la configuración donde no hará mucho para proteger el acceso a mysql, ya que solo puede reiniciarlo en modo seguro o acceder directamente al archivo de datos .ibd