【漏洞挖掘】——62、WEB-INF/web.xml 泄露

基本介绍

WEB-INF/web.xml信息泄露是一种常见的安全问题，通常发生在Web应用程序未被正确配置或管理的情况下，攻击者可以通过暴力破解或者其他手段访问WEB-INF目录下的web.xml文件从而获得Web应用程序的配置信息，例如:安全配置、数据库连接信息、API密钥等

目录介绍

WEB-INF是Java Web应用程序的保护目录，存放的是与外界不应该直接交互的文件和目录，它一般位于Web应用程序的根目录下，包含以下文件和目录，对此攻击者可以通过找到web.xml文件，推断class文件的路径，最后直接class文件，再通过反编译class文件得到网站源码

• classes目录：存放Web应用程序的Java类文件
• lib目录：存放Web应用程序所需的Java类库文件，例如:JAR文件
• web.xml文件：存放Web应用程序的配置信息，例如Servlet、过滤器、错误页面等
• tld目录：存放标签库描述文件(Tag Library Descriptor)，用于描述JSP页面中使用的自定义标签库
• jsp目录：存放JSP文件，这些JSP文件不能直接通过URL访问，只能通过Servlet或其他Java类进行访问
• tags目录：存放自定义标签文件，这些标签文件用于扩展JSP标准标签库
• 空目录：包含一个空目录，用于在打包Web应用程序时，保留空目录结构

漏洞检测

直接访问如下URL地址：