本文探讨了因后台错误导致的敏感信息暴露问题，包括内网服务扫描、DOS攻击、Web应用漏洞等危害。提出防御措施，如删除无用程序、禁止访问敏感页面、服务器端信息模糊化及数据检查。并通过靶场实操展示了登录框的安全隐患，提供测试账号进行演示。
敏感信息泄露
概述
由于后台人员的疏忽或者不当的设计，导致不应该被前端用户看到的数据被轻易的访问到。
危害
扫描内网开放服务
向内部任意主机的任意端口发送payload来攻击内网服务
DOS攻击（请求大文件，始终保持连接Keep-Alive Always）
攻击内网的web应用，例如直接SQL注入、XSS攻击等
利用file、gopher、dict协议读取本地文件、执行命令等
防御
1、如果是探针或测试页面等无用的程序建议删除，或者修改成难以猜解的名字。
2、不影响业务或功能的情况下删除或禁止访问泄露敏感信息页面。
3、在服务器端对相关敏感信息进行模糊化处理。
4、对服务器端返回的数据进行严格的检查，满足查询数据与页面显示数据一致。
靶场实操
登录框
先查看源码
这边搞到了一个测试账号：lili&123456
登陆试试
搞定
扫一扫
1863
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
