Scaricare i siti web che utilizzano PHPDebugBar

Informazioni su PHPDebugBar

PHPDebugBar è uno strumento di sviluppo, quindi trovarlo su un sito web pubblico è di solito già di per sé un rilievo di sicurezza. La barra viene visualizzata all’interno della pagina e mostra ciò che serve a uno sviluppatore durante il debug, tra cui le query eseguite sul database, i parametri della richiesta, il contenuto della sessione, le eccezioni, i profili dei tempi di esecuzione e i messaggi di log personalizzati.

Scritta in PHP e rilasciata nel 2013 con licenza MIT, la barra si integra nei framework più comuni di quell’ecosistema e anche in applicazioni autonome. Su una macchina di sviluppo non ha nulla di particolare ed è estremamente utile. Su un dominio di produzione significa che l’applicazione sta servendo output di debug al pubblico, e lo stesso pannello che aiuta un ingegnere descrive anche la struttura del database, il framework in uso e la struttura delle richieste interne a chiunque apra la pagina.

Il pubblico di un elenco come questo è insolito, perché l’elemento interessante è l’errore e non il prodotto. I ricercatori di sicurezza lo usano per misurare quanto sia davvero comune una configurazione errata, invece di ragionare per aneddoti. I fornitori di soluzioni per la superficie di attacco e la gestione degli asset lo usano per dimostrare l’esposizione su larga scala a un cliente che non crede che il problema esista al proprio interno. I provider di hosting lo usano per trovare gli account a cui basta il caricamento di una pagina per far trapelare il testo delle query. I manutentori di framework e strumenti leggono lo stesso insieme per un motivo del tutto diverso, come un censimento approssimativo dei luoghi in cui il loro stack è installato.

Degli stessi dati esiste una seconda lettura che non ha nulla a che fare con la sicurezza. Una barra di debug viene installata da un team di sviluppo attivo, non da un website builder o dalla procedura guidata di un hosting, quindi la sua diffusione indica dove si svolge davvero lo sviluppo di applicazioni su misura in un linguaggio la cui presenza pubblica è altrimenti dominata dai sistemi di gestione dei contenuti. Per chi vende a studi di sviluppo e non ai proprietari di siti, la distinzione tra un’applicazione costruita a mano e una piattaforma preconfezionata è l’intera segmentazione, e pochi segnali tracciano il confine in modo altrettanto netto.

Qui l’onestà conta più del totale. Il rilevamento vede le risorse e i marcatori che la barra lascia nella pagina servita, il che costituisce una prova solida ma non la conferma che il pannello venga mostrato a ogni visitatore, dato che alcune installazioni si trovano dietro una lista di indirizzi autorizzati o una sessione autenticata. Le risorse incluse nel bundle possono inoltre sopravvivere in una build molto tempo dopo che il collettore vero e proprio è stato disattivato. A ottobre 2026 registriamo 4411 siti, e ognuno è una pista da verificare, non un’esposizione confermata.

Una verifica sul singolo dominio risponde a una domanda su un sito, di solito quando qualcosa è già andato storto. L’elenco scaricabile permette il tipo di lavoro opposto. Misurare la diffusione in un paese o in un’estensione di dominio, osservare se cala dopo che un framework cambia le impostazioni predefinite e individuare il parco interessato prima che qualcuno con intenzioni meno amichevoli si metta a cercarlo.