网安入门须知：注释的危害居然这么大？——注释漏洞导致的信息泄露_jsp页面中包含html注释泄露敏感信息缺陷(2)

注释导致的信息泄露

• 一、什么是信息泄露漏洞？
• 二、信息泄露有什么危害？
• 三、注释是怎么导致信息泄露的？
• • 1、HTML注释
    • 2、JSP注释
    • 3、JS代码
• 四、利用方式
• 五、如何防护
• 总结

一、什么是信息泄露漏洞？

信息泄露是指【网站无意间向用户泄露敏感信息】，一些安全意识淡薄的管理员或技术人员无法区分普通信息和敏感信息，从而将敏感信息当做普通数据展示在前端源码中或者明文传输。

二、信息泄露有什么危害？

【千里之堤，毁于蚁穴】，敏感信息泄露虽然被评为危害较低的漏洞，但有些时候，就是这些敏感信息往往会给攻击者攻击提供很大的帮助，一个微小的漏洞，经过攻击者的巧妙利用，也有可能对企业和用户造成巨大的危害

三、注释是怎么导致信息泄露的？

【注释虽然不会被当做代码执行，但可以在前端的源码中被展示出来】。攻击者可以根据源码中的注释内容进行针对性的攻击。注释的设计本是为了方便开发人员，提高研发的效率，开发人员会在前端页面中写开发过程中的注释，由于安全意识淡薄，在项目上线前并不会将注释删除。这些注释可能会包含但不限于以下敏感信息：

1. 敏感目录或文件地址，比如后台登录地址
2. 内网接口信息
3. 网站的基础架构/技术细节
4. 用户相关数据，比如测试用的账号密码

1、HTML注释

HTML常用的注释格式是 <!-- 注释内容 -->，很多语言都会支持这种注释，开发人员可能会在注释内容中透漏一些敏感信息，比如下面的这张图片，泄露了测试用的账号和密码

2、JSP注释

并不是只有HTML的页面才会导致信息泄露，JSP页面同样存在这样的问题，这主要是因为JSP页面中支持使用HTML的注释。JSP常用的注释有两种：

1. <%-- 注释内容 --%>
   这种注释方式不会在前端源码中展示
2. <!-- 注释内容 -->
   这种HTML的注释会在前端源码中展示，并且很多开发人员习惯用这种HTML注释，而不是使用上面的JSP注释。如果一定要写注释的话，推荐使用上面的JSP注释。

3、JS代码

总结

最后为了帮助大家深刻理解Android相关知识点的原理以及面试相关知识，这里放上相关的我搜集整理的24套腾讯、字节跳动、阿里、百度2019-2021面试真题解析，我把技术点整理成了视频和PDF（实际上比预期多花了不少精力），包知识脉络 + 诸多细节。

还有 高级架构技术进阶脑图、Android开发面试专题资料 帮助大家学习提升进阶，也节省大家在网上搜索资料的时间来学习，也可以分享给身边好友一起学习。

网上学习 Android的资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。希望这份系统化的技术体系对大家有一个方向参考。

2021年虽然路途坎坷，都在说Android要没落，但是，不要慌，做自己的计划，学自己的习，竞争无处不在，每个行业都是如此。相信自己，没有做不到的，只有想不到的。祝大家2021年万事大吉。

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化学习资料的朋友，可以戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

s/618156601)**

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！