常见漏洞危害和修复建议

参考链接：
https://vulwiki.readthedocs.io/zh_CN/latest/web/svn/

接口未授权访问

漏洞描述

接口未授权访问，顾名思义在不进行请求授权的情况下，能够直接对相应的业务逻辑功能进行访问、操作等。通常是由于认证页面存在缺陷或者无认证、安全配置不当等导致的。

常见应用场景

最常见的应用场景为后台某些API接口在不登录系统的情况，直接请求对应的URI即可访问、操作该接口。

攻击者最常见的攻击途径主要有如下：

通过目录扫描工具加载目录字典探测
通过模糊测试URI中的参数进行探测
通过前端静态文件，比如JS、webpack等查找

漏洞危害

攻击者可在没有认证的情况下直接操作对应的API接口，可直接被非法增删改次数据。
因为攻击是在未认证下进行的，所以后续无法通过定位用户进行异常排查。

修复建议

对于后台接口，确保所有API接口先经过登录控制器。
在验证用户身份权限前不进行任何数据的交互。

svn信息泄露

漏洞描述

在使用SVN管理本地代码过程中，会自动生成一个名为.svn的隐藏文件夹，其中包含重要的源代码信息。一些网站管理员在发布代码时，不愿意使用‘导出’功能，而是直接复制代码文件夹到WEB服务器上，这就使.svn隐藏文件夹被暴露于外网环境，黑客可以借助其中包含的用于版本信息追踪的entries文件，获取站点信息。

漏洞危害