4.1.3 检查 Web 应用程序路径或功能是否存在信息泄露

已于 2023-08-22 09:37:36 修改
阅读量179 收藏
点赞数
分类专栏： 4.1 信息收集 文章标签： 前端 web安全
于 2023-08-22 09:35:53 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44232452/article/details/132413077
版权

检查 Web 应用程序路径或功能是否存在信息泄露

ID
WSTG-INFO-03

总结

本节介绍如何测试各种元数据文件是否存在 Web 应用程序路径或功能的信息泄漏。此外，蜘蛛、机器人或爬虫要避免的目录列表也可以创建为通过应用程序映射执行路径的依赖项。还可能收集其他信息以识别攻击面、技术详细信息或用于社会工程参与。

测试目标

  • 通过分析元数据文件来识别隐藏或模糊的路径和功能。
  • 提取和映射其他信息，以便更好地了解手头的系统。

如何测试

下面使用 wget 执行的任何操作也可以使用curl完成。许多动态应用程序安全测试（DAST）工具（如ZAP和Burp Suite）都包含对这些资源的检查或解析，作为其爬虫/爬虫功能的一部分。它们也可以使用各种Google Dorks或利用高级搜索功能 inurl:

Robots

网络蜘蛛、Robots或爬虫检索网页，然后递归遍历超链接以检索更多 Web 内容。它们接受的行为由 Web 根目录中的 [robots.txt] (https://www.robotstxt.org/) 文件的Robots排除协议 指定。

例如，下面引用了 2020 年 5 月5 日 [Google] (https://www.google.com/robots.txt) 采样的robots.txt 文件的开头：

User-agent: *
Disallow: /search
Allow: /search/about
Allow: /search/static
Allow: /search/howsearchworks
Disallow: /sdch
...

User-Agent 指令指的是特定的网络蜘蛛/robots/爬虫。例如，指的是来自 谷歌的网络爬虫User-Agent: Googlebot，而 User-Agent: bingbot指的是来自Microsoft的爬虫。 在上面的示例中User-Agent: *适用于所有网络蜘蛛/机器人/爬虫。

该指令 Disallow指定了蜘蛛/机器人/爬虫禁止哪些资源。在上面的示例中，禁止以下内容：

...
Disallow: /search
...
Disallow: /sdch
...

网络蜘蛛/机器人/爬虫可以故意忽略 文件中指定的 Disallow指令。因此，robots.txt 不应将其视为对第三方访问、存储或重新发布 Web 内容的方式实施限制的机制。

该robots.txt 文件是从 Web 服务器的 Web 根目录中检索的。例如，www.google.com 要检索 robots.txt 使用wget或 curl：

$ curl -O -Ss http://www.google.com/robots.txt && head -n5 robots.txt
User-agent: *
Disallow: /search
Allow: /search/about
Allow: /search/static
Allow: /search/howsearchworks
...
分析robots.txt 使用 Google 网站站长工具

网站所有者可以使用Google“分析robots.txt ”功能来分析网站，作为其Google网站管理员工具的一部分。此工具可以帮助进行测试，过程如下：

  1. 使用 Google 帐号登录 Google 网站站长工具。
  2. 在仪表板上，输入要分析的站点的 URL。
  3. 在可用方法之间进行选择，然后按照屏幕上的说明进行操作。

META 标签

<META> 标签位于每个HTML文档的 HEAD部分中，如果机器人/蜘蛛/爬虫的起点不是从webroot以外的文档链接（即深层链接）开始，则应在整个站点中保持一致。机器人指令也可以使用特定的 META 标签来指定。

Robots META Tag

如果没有<META NAME="ROBOTS" ... > 条目，则“机器人排除协议”默认分别为INDEX,FOLLOW 。因此，“机器人排除协议”定义的其他两个有效条目的前缀为 NO...即 NOINDEX 和 NOFOLLOW。

根据 webroot 中的robots.txt文件列出的 Disallow 指令，在每个网页中进行正则表达式搜索 <META NAME="ROBOTS"。然后将结果与 webroot 中的robots.txt文件进行比较。

其他META信息标签

组织经常在 Web 内容中嵌入信息 META 标签，以支持各种技术，例如屏幕阅读器、社交网络预览、搜索引擎索引等。此类元信息对于测试人员识别所使用的技术以及探索和测试的其他路径/功能很有价值。以下元信息于 2020 年 05 月5日通过查看www.whitehouse.gov 页面源代码检索：

...
<meta property="og:locale" content="en_US" />
<meta property="og:type" content="website" />
<meta property="og:title" content="The White House" />
<meta property="og:description" content="We, the citizens of America, are now joined in a great national effort to rebuild our country and to restore its promise for all. – President Donald Trump." />
<meta property="og:url" content="https://www.whitehouse.gov/" />
<meta property="og:site_name" content="The White House" />
<meta property="fb:app_id" content="1790466490985150" />
<meta property="og:image" content="https://www.whitehouse.gov/wp-content/uploads/2017/12/wh.gov-share-img_03-1024x538.png" />
<meta property="og:image:secure_url" content="https://www.whitehouse.gov/wp-content/uploads/2017/12/wh.gov-share-img_03-1024x538.png" />
<meta name="twitter:card" content="summary_large_image" />
<meta name="twitter:description" content="We, the citizens of America, are now joined in a great national effort to rebuild our country and to restore its promise for all. – President Donald Trump." />
<meta name="twitter:title" content="The White House" />
<meta name="twitter:site" content="@whitehouse" />
<meta name="twitter:image" content="https://www.whitehouse.gov/wp-content/uploads/2017/12/wh.gov-share-img_03-1024x538.png" />
<meta name="twitter:creator" content="@whitehouse" />
...
<meta name="apple-mobile-web-app-title" content="The White House">
<meta name="application-name" content="The White House">
<meta name="msapplication-TileColor" content="#0c2644">
<meta name="theme-color" content="#f5f5f5">
...

站点地图

站点地图是一个文件，开发人员或组织可以在其中提供有关站点或应用程序提供的页面、视频和其他文件以及它们之间的关系的信息。搜索引擎可以使用此文件更有效地浏览您的网站。同样，测试人员可以利用“站点地图.xml”文件来更深入地了解正在调查的网站或应用程序。

以下摘录来自 Google 于 2020 年 05 月5日检索的主要站点地图。

$ wget --no-verbose https://www.google.com/sitemap.xml && head -n8 sitemap.xml
2020-05-05 12:23:30 URL:https://www.google.com/sitemap.xml [2049] -> "sitemap.xml" [1]

<?xml version="1.0" encoding="UTF-8"?>
<sitemapindex xmlns="http://www.google.com/schemas/sitemap/0.84">
  <sitemap>
    <loc>https://www.google.com/gmail/sitemap.xml</loc>
  </sitemap>
  <sitemap>
    <loc>https://www.google.com/forms/sitemaps.xml</loc>
  </sitemap>
...

从那里探索测试人员可能希望检索 gmail 站点地图https://www.google.com/gmail/sitemap.xml：

<?xml version="1.0" encoding="UTF-8"?>
<urlset xmlns="http://www.sitemaps.org/schemas/sitemap/0.9" xmlns:xhtml="http://www.w3.org/1999/xhtml">
  <url>
    <loc>https://www.google.com/intl/am/gmail/about/</loc>
    <xhtml:link href="https://www.google.com/gmail/about/" hreflang="x-default" rel="alternate"/>
    <xhtml:link href="https://www.google.com/intl/el/gmail/about/" hreflang="el" rel="alternate"/>
    <xhtml:link href="https://www.google.com/intl/it/gmail/about/" hreflang="it" rel="alternate"/>
    <xhtml:link href="https://www.google.com/intl/ar/gmail/about/" hreflang="ar" rel="alternate"/>
...

security文件

security.txt 被IETF批准为RFC 9116 - 一种有助于安全漏洞披露的文件格式 ，允许站点定义安全策略和联系方式。在测试方案中可能对此感兴趣的原因有多种，包括但不限于：

确定要包含在发现/分析中的更多路径或资源。
开源情报收集。
查找有关漏洞赏金等的信息
社会工程学。

该文件可能存在于 Web 服务器的根目录或 .well-known/ 目录中，例如：

  • https://example.com/security.txt
  • https://example.com/.well-known/security.txt

以下是从 LinkedIn 2020 年 05 月 5日检索到的真实示例：

$ wget --no-verbose https://www.linkedin.com/.well-known/security.txt && cat security.txt
2020-05-07 12:56:51 URL:https://www.linkedin.com/.well-known/security.txt [333/333] -> "security.txt" [1]
# Conforms to IETF `draft-foudil-securitytxt-07`
Contact: mailto:security@linkedin.com
Contact: https://www.linkedin.com/help/linkedin/answer/62924
Encryption: https://www.linkedin.com/help/linkedin/answer/79676
Canonical: https://www.linkedin.com/.well-known/security.txt
Policy: https://www.linkedin.com/help/linkedin/answer/62924

OpenPGP公钥包含一些元数据，可以提供有关密钥本身的信息。以下是一些可以从OpenPGP公钥中提取的常见元数据元素：

密钥到期日期：OpenPGP公钥可以设置到期日期，在此日期之后它们被视为无效。密钥到期日期指定密钥不再有效的时间。
用户 ID：公钥可以有一个或多个关联的用户 ID，用于标识与密钥关联的所有者或实体。用户 ID 通常包括密钥所有者的姓名、电子邮件地址和可选注释等信息。

  • Key ID: 密钥 ID 是从公钥材料派生的短标识符。它有助于识别密钥，通常显示为八个字符的十六进制值。
  • Key Fingerprint: 密钥指纹是从密钥材料派生的更长、更独特的标识符。它通常显示为 40 个字符的十六进制值。密钥指纹通常用于验证公钥的完整性和真实性。
  • Key Algorithm: 密钥算法表示公钥使用的加密算法。OpenPGP支持各种算法，如RSA，DSA和ECC（椭圆曲线加密）。
  • Key Size: 密钥大小是指加密密钥的长度或大小（以位为单位）。它指示密钥的强度并确定密钥提供的安全级别。
  • Key Creation Date: 密钥创建日期指示生成或创建密钥的时间。
  • Key Expiration Date: OpenPGP公钥可以设置到期日期，在此日期之后它们被视为无效。密钥到期日期指定密钥不再有效的时间。
  • User IDs: 公钥可以有一个或多个关联的用户 ID，用于标识与密钥关联的所有者或实体。用户 ID 通常包括密钥所有者的姓名、电子邮件地址和可选注释等信息。

Humans文件

humans.txt 是一项了解网站背后人员的举措。它采用文本文件的形式，其中包含有关为构建网站做出贡献的不同人员的信息。此文件通常（但并非总是）包含与职业或工作地点/路径相关的信息。

以下示例是从 Google 2020 May 05 检索的：

$ wget --no-verbose  https://www.google.com/humans.txt && cat humans.txt
2020-05-07 12:57:52 URL:https://www.google.com/humans.txt [286/286] -> "humans.txt" [1]
Google is built by a large team of engineers, designers, researchers, robots, and others in many different sites across the globe. It is updated continuously, and built with more tools and technologies than we can shake a stick at. If you'd like to help us out, see careers.google.com.

其他知名信息来源

还有其他 RFC 和互联网草案建议对.well-known/ 目录中的文件进行标准化使用。这些列表可以在这里 或这里找到。

对于测试人员来说，查看 RFC/草稿并创建一个要提供给爬网程序或模糊程序的列表以验证此类文件的存在或内容是相当简单的。

工具

浏览器（查看源代码或开发工具功能）

  • 浏览器（查看源代码或开发工具功能）
  • curl
  • wget
  • Burp Suite
  • ZAP
开启学习模式
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
/.well-known/ 漏洞
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
04-18 1353
/.well-known/openid-configuration 这些通常会返回一个 JSON 配置文件,其中包含关键信息。站点中隐藏的/.well-known/目录是IETF定义的知名站点的URI前缀,常被用来证明域名的所有权。使用ACME来管理SSL证书的HTTPS站点的管理员会将唯一的token。 本文中主要介绍上个月上百个被黑的CMS站点中发现的Shade/Troldesh勒索软件和钓鱼页面。研究人员分析发现被黑的WordPress站点都使用v 4.8.9到5.1.1版本，并且都使用Auto
HTML5程序设计（第2版）.[荷]Peter Lubbers(带详细书签).pdf
06-18
12.2.2 搭建简单的离线应用程序 256 12.2.3 支持离线行为 257 12.2.4 manifest文件 257 12.2.5 applicationCache API 259 12.2.6 运行中的应用缓存 260 12.3 使用HTML5离线Web应用构建应用 261 12.3.1 创建...
Web安全测试漏洞场景
weixin_30480651的博客
05-27 1668
HTTP.sys 远程代码执行 测试类型： 基础结构测试 威胁分类： 操作系统命令 原因： 未安装第三方产品的最新补丁或最新修订程序 安全性风险： 可能会在 Web 服务器上运行远程命令。这通常意味着完全破坏服务器及其内容 技术描述： 通过 IIS 6 引入的 HTTP 协议堆栈 (HTTP.sys) 错误地解析了特制的 HTTP 请求。...
如何使用meg尽可能多地发现目标主机中的多个URL地址
m0_60571990的博客
03-15 264
如何使用meg尽可能多地发现目标主机中的多个URL地址
推荐项目：security.txt - 网站安全政策的规范定义
最新发布
gitblog_00037的博客
05-12 268
推荐项目：security.txt - 网站安全政策的规范定义 项目地址:https://gitcode.com/securitytxt/security-txt 项目介绍 如同robots.txt对搜索引擎爬虫的指导，security.txt为网站提供了一种声明安全策略的方式。这个开放源代码项目旨在帮助安全研究人员在发现漏洞时，能够明确且直接地与相关组织联系，确保安全问题得到及时报告和解决。通过...
Web 应用渗透测试 00 - 信息收集
0pr
01-21 2291
这个系列写 Web 应用渗透测试相关的内容。此篇从信息收集开始，看一下 Web 应用端有哪些方面的信息值得渗透测试者去收集，能对后续的行动产生积极的影响。
生产环境日志不知名访问路径记录
Say no to the bugs
05-21 1万+
搭了个服务器,天天各种php脚本和不知名的路径访问,可能是搜索引擎,可能是漏洞攻击,在此记录一下. 告诉搜索过来的人,你不是一个人被这些路径骚扰过 顺便寻求一些解决办法,目前我使用了Spring boot Security,还请指教 我也是够闲的. 当然知道这些来自何方,也留言我更新一下,方便解惑 /login_sid.lua /hh.php /vuln.php /she.php /pe.php...
HTML5高级程序设计
05-24
10.2.2 搭建简单的离线应用程序 203 10.2.3 支持离线行为 204 10.2.4 manifest文件 204 10.2.5 applicationcache api 205 10.3 使用html5离线web应用构建应用 206 10.3.1 创建记录资源的manifest文件 208 ...
完整版《HTML5高级程序设计》2
04-12
10.2.2 搭建简单的离线应用程序 203 10.2.3 支持离线行为 204 10.2.4 manifest文件 204 10.2.5 applicationCache API 205 10.3 使用HTML5离线Web应用构建应用 206 10.3.1 创建记录资源的manifest文件 208 10.3.2 ...
完整版《HTML5高级程序设计》4
04-12
10.2.2 搭建简单的离线应用程序 203 10.2.3 支持离线行为 204 10.2.4 manifest文件 204 10.2.5 applicationCache API 205 10.3 使用HTML5离线Web应用构建应用 206 10.3.1 创建记录资源的manifest文件 208 10.3.2 ...
HTML5高级程序设计.part4
12-08
10.2.2 搭建简单的离线应用程序 203 10.2.3 支持离线行为 204 10.2.4 manifest文件 204 10.2.5 applicationCache API 205 10.3 使用HTML5离线Web应用构建应用 206 10.3.1 创建记录资源的manifest文件 208 ...
最近在 GitHub 再次火起来的开源项目 Web Check ，输入网址，就会对目标网站自动进行分析，包括 SSL 证书，服务器位置，网站表现等等，界面风格很酷
代码讲故事
04-24 1036
最近在 GitHub 再次火起来的开源项目 Web Check ，输入网址，就会对目标网站自动进行分析，包括 SSL 证书，服务器位置，网站表现等等，界面风格很酷。开源项目web-check是一个综合性的在线调查工具（OSINT），它被设计来分析任何网站，提供深入洞察网站的内部工作机制。
Web应用安全—信息泄露
xnxqwzy的博客
02-27 804
从书本和网上了解到Web应用安全的信息泄露的知识，今天跟大家分享点。漏洞描述：搜索引擎可以通过robots文件可以获知哪些页面可以爬取，哪些页面不可以爬取。Robots协议是网站国际互联网界通行的道德规范，其目的是保护网站数据和敏感信息、确保用户个人信息和隐私不被侵犯，如果robots.txt文件编辑的太过详细，反而会泄露网站的敏感目录或者文件，比如网站后台路径，从而得知其使用的系统类型，从而有针对性地进行利用。测试方法：1、检测形式多样，工具爬虫扫描得到敏感文件的路径，从而找到robots文件；2、手工挖
靶场Juice-Shop学习
个人博客
02-19 1万+
靶场Juice-shop学习 1.安装 使用docker安装juice-shop docker pull bkimminich/juice-shop docker run --rm -p 3000：3000 bkimminich/juice-sop 浏览器访问http://localhost:3000即可，在右上角可以切换语言 教程参考juice-shop 使用工具：burpsuite 、owasp zap、exiftool、OpenStego、race-the-web等 2. 一星 ⭐️ Score B
OAuth 2.0 身份验证漏洞
qq_44030437的博客
01-20 4392
OAuth 2.0 身份验证漏洞 在浏览网页时，您几乎肯定会遇到可让您使用社交媒体帐户登录的网站。该功能很有可能是使用流行的 OAuth 2.0 框架构建的。OAuth 2.0 对攻击者来说非常有趣，因为它非常常见并且天生就容易出现实施错误。这可能导致许多漏洞，允许攻击者获取敏感的用户数据并可能完全绕过身份验证。 在本节中，我们将教您如何识别和利用OAuth 2.0 身份验证机制中发现的一些关键漏洞。如果您不太熟悉 OAuth 身份验证，请不要担心 - 我们提供了大量背景信息来帮助您了解您需要的关键
【tornado建站】申请免费ssl证书http秒变https
Q.1的博客
12-24 399
如果域名已经申请好，并且解析OK了，你会发现地址是http://开头的，浏览器会打上一个不安全标签，这个时候就需要申请一个ssl证书了。我是在freessl官网上申请的免费证书。 品牌选择TrustAsia，证书类型RSA，文件验证，然后浏览器生成fileauth.txt文件。把这个文件上传到自己的服务器，freessl网站需要通过访问/.well-known/pki-validation/fil...
HexionCTF web&crypto&misc题目分析
蚁景网安学院
05-14 1335
HexionCTF 2020 都是一些基础和中等的题目，但是没有 ak，等到官方 wp (https://github.com/HexionTeam/HexionCTF-Writeups...
http://xxxx.com/.well-known/pki-validation/ txt 访问不了的问题
热门推荐
laokaizzz的专栏
06-12 3万+
ssl证书，要弄这个路径，不让带www http://www.xxxx.com/.well-known/pki-validation/xxxx.txt 能正常访问 直接访问http://xxxx.com/.well-known/pki-validation/xxx.txt 不行。 1.http://xxxx.com会自动跳转到 http://www.xxxx.com 结果发现谷歌...
汇编语言程序设计：格式、指令和应用
4.1.3 程序的编辑、汇编与连接：介绍了程序的制作流程及相关工具。 4.2 语句行的构成：详细解释了汇编语言中语句行的组成要素。 4.3 指示性语句 4.3.1 符号定义伪指令：讲解了如何定义符号并使用伪指令； 4.3.2...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值