Tenemos varios sitios web que están orientados al cliente en una empresa muy grande. Estos sitios web recopilan información del cliente. Se escribieron hace 6-7 años, posiblemente utilizando un generador de código PHP / mysql. No se ha tocado desde entonces. El código proporciona una funcionalidad CMS muy básica: coloca algunos elementos de campo en una plantilla.
Sin poder auditar el código o acceder directamente a los sitios (he visto demostraciones), se me pide que calcule las vulnerabilidades de seguridad del sitio y cuánto demoraría la reconstrucción. Dirijo el grupo OPS web para mi sector y este es otro sector, por lo que hay algunos problemas políticos en el camino. Tengo mi opinión sobre posibles problemas, pero me gustaría escuchar a otros también.
El servidor es LINUX ejecutando apache 2. Ejecutando versiones anteriores de PHP y mysql. Los clientes se ven obligados a completar un formulario para ver el contenido, por lo que estamos almacenando un montón de información del cliente en texto sin formato en el sitio. Las contraseñas no son saladas y ni siquiera están seguras. Avíseme si hay algo que pueda agregar para mejorar la pregunta.