敏感信息泄露20道wp

最新推荐文章于 2024-07-29 22:50:36 发布
最新推荐文章于 2024-07-29 22:50:36 发布
阅读量232 收藏 8
点赞数 6
文章标签： php 开发语言 笔记 web安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_75141643/article/details/140738983
版权

CTFShow->wp

1.源码泄露

查看网页源代码F12
在这里插入图片描述

2.前台JS绕过

首先不能右击 f12也不行，那可以采取ctrl+U或者点击开发者工具
在这里插入图片描述
在这里插入图片描述

3.协议头信息泄露

查看网页源代码没有发现，那我就查看网络请求部分
在这里插入图片描述

4.robots后台泄露

根据提示直接拼接地址尝试一下
在这里插入图片描述
在这里插入图片描述

找到这个txt文件,再次进行拼接
在这里插入图片描述

5.phps源码泄露

根据提示
在这里插入图片描述

通过dirsearch扫描目录，找关于php后缀的文件
在这里插入图片描述

感觉啥也不是，查看网上wp，拼接/index.phps,进行下载
在这里插入图片描述

找到flag
在这里插入图片描述

6.源码压缩包泄露

根据下载压缩包，拼接/www.zip
在这里插入图片描述

发现里面文件是假的，可恶
在这里插入图片描述

那么，我尝试一下拼接这两个文件，发现拼接fl000g,txt，拿到flag
在这里插入图片描述

7.版本控制泄露源码

斯，找到服务器版本了，但是没啥鸟用
看wp，斯，是.git源码泄露
在这里插入图片描述

8.版本控制泄露源码2

这里是 SVN 导致文件泄露。
直接进行拼接/.svn/
在这里插入图片描述

9.vim临时文件泄露

根据提示，进行拼接/index.php.swp
在这里插入图片描述

下载此文件并打开
在这里插入图片描述

10.cookie泄露

在这里插入图片描述

直接找cookie
在这里插入图片描述

直接提交不对，可恶，看着这flag格式好多不对，缺少{}，加上还是不行，动一下脑子，是不是{}被网页编码了，随即我去解析，修改flag
在这里插入图片描述

Wc，还真是编码，拿下

11.域名txt记录泄露

在这里插入图片描述

12.敏感信息公布

在这里插入图片描述

根据提示进行dirsearch扫描，找到登录目录
进行拼接/admin
在这里插入图片描述

用户名默认admin
在这里插入图片描述

密码就在页面，当然也可以使用burp爆破，速度慢一些

13.内部技术文档泄露

在这里插入图片描述

感觉技术文档这块有问题
找一下技术文档
在这里插入图片描述

点进去看
在这里插入图片描述

Nb
在这里插入图片描述
在这里插入图片描述

14.编辑器配置不当

在这里插入图片描述

注意：源码、editor、默认配置
欧克，从这块下手

进行拼接/editor
在这里插入图片描述

在这块可以查看本地文件
在这里插入图片描述

找到这个
在这里插入图片描述

直接访问这个txt文件
在这里插入图片描述

15.密码逻辑脆弱

在这里插入图片描述

拼接admin/ 进入一个后台登录系统。
在这里插入图片描述

随便输入用户名和密码
在这里插入图片描述

多测试几次发现用户名为admin
在这里插入图片描述

我想使用一下提示信息，那么要找邮箱，我就点一下忘记密码看看
在这里插入图片描述

显示这玩意
还得找邮箱
在这里插入图片描述

知道邮箱了，我要找城市所在地
在qq上搜索这个qq号
在这里插入图片描述

发现地点在西安
在这里插入图片描述

进行登录，拿到flag
在这里插入图片描述

16.探针泄露

探针
拼接/tz.php
发现一个超链接，点进去瞅瞅
在这里插入图片描述

发现flag
在这里插入图片描述

17.CDN穿透

直接ping域名进行反查IP
在这里插入图片描述

18.js敏感信息泄露

提示在搞事情，不管
在这里插入图片描述

擦看网页源代码，有js文件
在这里插入图片描述
在这里插入图片描述

我们解码看一下
在这里插入图片描述

好好好，原来是110.php
拼接110.php
在这里插入图片描述

19.前端密钥泄露

好家伙，直接看前端
在这里插入图片描述
在这里插入图片描述

20.数据库恶意下载

根据提示
拼接/db/db.mdb
下载文件
搜索flag
在这里插入图片描述

陌上~
关注
  • 6
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
敏感信息泄露20道题wp
m0_75212313的博客
07-28 879
vim备份文件 默认情况下使用Vim编程，在修改文件后系统会自动生成一个带~的备份文件，某些情况下可以对其下载进行查看；eg：index.php普遍意义上的首页，输入域名不一定会显示，它的备份文件则为index.php~都是版本控制系统 (Version Control System, VCS) 的隐藏目录，分别代表着 Git 和 Subversion 这两种流行的版本控制系统。php探针文件一般命名为tz.php,tan.php,zhen.php,拼接目录发现网站探针泄露。
CTFSHOW敏感信息泄露20道题WP
Freshman2273的博客
07-27 749
根据题目提示，查看网页源码，找到editor/upload，说明可能存在上传接口，进行editor拼接进入编辑器。无法通过F12或右键查看网页源码，尝试通过Ctrl+U，成功打开源码得到Flag。通过题目提示，对php类型的文件进行扫描（php,phps）根据题目提示找到网站cookie，flag就在其中。经过查找发现疑似flag文件，对网站拼接进行访问。根据题目信息，查看网页JS文件，发现疑似通关代码。根据扫出来的目录再次扫描，发现mdb文件。拼接后拿到文件，flag包含在文件中。
敏感信息泄露wp
2201_76115387的博客
07-28 319
URL栏中访问此文件需要将/var/www/html中的html替换为靶机IP或域名，即http://90bf3207-d419-4ee7-bf9f-375e2f7ce152.challenge.ctf.show/nothinghere/fl000g.txt。5.用dirsearch扫描，看到index.phps,phps中有源码，拼接目录，下载index.phps。6.拼接目录，下载www.zip，index.php中有源码。9.拼接目录，index.php.swp。8.拼接目录，.svn。
CTFHub-JSON Web Token-敏感信息泄露
feng的博客
09-09 1305
前言 以前是没有接触过JWT的，直到几天前看了看DDCTF的Web签到题，发现是知识盲区，后来看了看WP，才知道好多东西自己都没有学过，因此特地学习学习。 关于JWT的基础知识，我觉得下面这个文章写的挺好的： JSON Web Token 入门教程 知道了JWT的基础知识，我们便开始做CTFHub中关于JWT的相关题目。 WP 首先打开环境发现是要登录的，我们直接burp抓包来看一看： 在response里发现了token。我们直接对token的header和payload进行base64url解码，解码
信息泄漏漏洞
柠鹿的轨迹
11-01 2080
目录 0x00 前言 0x01 信息泄漏原理 0x02 信息泄漏举例 1、访问/robots.txt或/sitemap.xml文件 2、网站错误访问时报错界面信息泄漏 3、目录遍历可访问URL 4、Google语法收集泄漏信息 5、社会工程学信息泄漏 0x03 信息泄漏防护 0x04 后记 0x05 友情链接 0x00 前言 信息泄漏涵括的内容很广泛，简单来说就是网站无意间向网民泄漏的敏感信息。比如其他用户的个人数据（手机号、身份证号、银行卡号、家庭地址……），...
渗透测试之敏感信息收集
weixin_68057794的博客
09-09 1893
渗透测试之敏感信息收集
CTFHUB-web-信息泄露wp总结
Alexhirchi的博客
03-29 2213
目录遍历 访问，进入发现都是目录，对各个文件访问 发现在 /1/1 目录下发现flag.txt 打开获得flag 我们利用脚本去遍历一遍文件 在这里插入代码片 这里我们做题不仅仅是为了获得flag，更重要的系统的掌握知识体系 考点：目录遍历漏洞（由于配置错误导致网站的目录可被遍历，一般该类漏洞可以为后续利用提供一些信息上的帮助） 存在问题： (1)操作系统没有限制对文件的访问权限。导致任何人...
Mr Robot CTF「ROBOTS.TXT 信息泄露+WP爆破」
AKAHRZ的博客
04-30 1820
TRY HACK ME 渗透测试靶场，以基础为主层层深入，知识点讲解详细，对于想实现从零到一飞跃的白客，TRY HACK ME无非是最好的选择。而网络上资源良莠不齐，好的资源难找的一逼。因此，今天起我将与大家一起详细学习THM重要的ROOM里的内容，力求让每个人都能理解、掌握其中的内容，让我们一起学习、一起进步、一起GET THE FLAG！ Mr Robot CTF「ROBOTS.TXT 信息泄露+WP爆破」THM靶场：Mr Robot CTFMr Robot 靶场通关小结 THM靶场：Mr Rob.
WEB中的敏感文件泄露
zhangge3663的博客
08-21 2945
文件泄露，根据泄露的信息敏感程度，在WEB漏洞中可以算是中危甚至高危的漏洞，本篇文章就来 介绍下一些常见的泄漏, 主要分为由版本管理软件导致的泄露, 文件包含导致的泄露和配置错误导致的泄露. 版本管理软件造成的泄露 git git可以说是当今最受欢迎的版本控制/版本管理软件了, 很多基于git的云端托管仓库都提供了 免费的托管服务, 甚至有不少还支持免费私有仓库, 如bitbucket和国内的gitosc(开源中国)等. 关键文件 git在初始化项目的时候, 会在项目的根目录(可用git rev-
极客谷杯WP1
08-03
反编译后的代码显示，该项目可能存在源代码泄露风险，因为R.class文件可能包含了敏感信息，例如密钥或加密算法。如果攻击者获取了该文件，就可能会导致安全漏洞。 建议 为了避免安全风险，开发人员应该尽量保护源...
CBV WP-crx插件
04-02
5. **安全性与隐私保护**：作为一款专业级插件，CBV WP-crx应确保通话质量和数据安全，防止敏感信息泄露。 6. **用户体验优化**：可能包含自定义设置选项，让用户根据个人喜好调整界面和功能。 为了使用CBV WP-crx...
信息安全_数据安全_Make_Redirection_Evil_Again_WP.pdf
08-22
【描述】：“信息安全_数据安全_Make_Redirection_Evil_Again_WP数据泄密事件检测硬件攻防安全工作云数据库”暗示了这篇文档可能涵盖了如何通过硬件防御和安全解决方案来应对数据泄露事件，特别是在云数据库环境中的...
信息安全_数据安全_Ghosts_in_a_Nutshell_WP.pdf
08-22
微架构攻击主要利用了处理器内部的优化特性，如分支预测和乱序执行，这些特性在预测失败或异常情况下可能导致敏感数据的泄露。Spectre和Meltdown是这类攻击的典型代表，前者利用了分支预测的漏洞，后者则利用了乱序...
手机查询“我的家乡” WP7手机应用
05-11
10. **隐私保护**：开发者需遵守相关法律法规，确保用户数据的安全，不泄露个人敏感信息。 综上所述，“我的家乡”WP7手机应用不仅展示了移动技术与地方文化的融合，还体现了开发者在用户体验、内容聚合和技术创新...
WordPress原创插件：搜索引擎抓取首图seo图片
最新发布
爱酷码的博客
07-29 324
WordPress原创插件：搜索引擎抓取首图seo图片。
PHP框架详解 - symfony框架
丁爸的博客
07-28 957
Symphony框架是一个功能强大、稳定可靠、易于扩展和定制的开源Web框架，适用于构建各种类型的Web应用程序。虽然在某些情况下可能会遇到一些性能和学习曲线的挑战，但是通过合理的配置和优化，以及积极的学习和实践，可以充分发挥Symphony框架的优势，构建高质量的Web应用程序。Symphony框架是一个基于PHP的开源Web框架，它提供了一套丰富的组件和工具，可以帮助开发者更轻松地构建高质量的Web应用程序。
c++语言实现类似swoole扩展的项目实践
北风之神Boreas
07-24 441
项目本质其实是C++项目开发，学员学习后增加对C++技术栈的实践能力，毕竟互联网的核心基石依然是C/C++。 当你要改变以前吸收的知识来源于国内视频教程，国内文章教程 国内文章资料 转向全球老外大佬云集的github开源项目吸收时，就要学C和C++ 而你以前的IT技术就是国内的教程 国内的社区 国内的文章 ，但都是有局限的，所以要转向github社区吸收开源项目的东西来增强个人技术体系。 技术只来源于实践，不是光看，光记就会的东西，纸上得来终觉浅绝知此事要躬行。
ecshop网站部署
qq_63926306的博客
07-24 385
ecshop网站部署
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

陌上~

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值