万物皆可fuzz之Log中的敏感信息

几年前的私密项目漏洞，看了看厂商都倒闭了，也不涉及敏感信息就脱敏发出来，希望和大家一起共同学习

1. 信息收集

通过对目标服务器进行信息手机发现目标为

Tomcat中间件(这个很重要)

➜ curl xxxx.target.cn -I [2021-03-26 18:12:41]

HTTP/1.1 200 OK

Accept-Ranges: bytes

ETag: W/"273-1493787475340"

Content-Type: text/html

Content-Length: 273

Server: Tomcat

2. 目录Fuzz

打开首页为空白页，还是和上次不信邪，目录Fuzz一波吧

python dirfuzz.py xxxx.target.cn jsp [2021-03-26 18:15:32]

---

Target: http://xxxx.target.cn

Extensions: jsp | Threads: 10 | Dir size: 3505

---

发现一个奇怪的目录，猜测可能是Web的默认log路径，不能只猜解，说干就敢

百度了一下Tomcat存在默认的catalina 日志文件，而且好像是有规律的

参考文章：https://blog.csdn.net/qq_34406670/article/details/79747243

dirfuzz 开始：

开始按照文章中介绍的，cataliana.{yyyy-MM-dd}.log、localhost.{yyyy-MM-dd}.log格式去fuzz都失败了，从2010年fuzz到2017年都凉了，然后放弃。。。。

到了第二天还是不甘心，是否还存在其他我没收集到的格式呢，于是乎继续百度寻找规律，看看运维们一般都喜欢怎么定义文件格式，最后找到一篇文章(https://blog.csdn.net/zczzyezgycsz8888/article/details/84756349), 提到了catalina.out.yyyy-mm-dd这种格式，马上来试一试

..中间省略非常多的日志............

果然，付出和回报都是成正比的，赶紧看看里面有没有业务的敏感日志泄漏，要是没有这两天就白干了。。。

日志是在太大了，最终翻了好久好久，终于在某一行翻到了微信的secret、用户的密码、session,username,ip,设备信息等等很多敏感信息 。。。

使用微信公众号的secret生成access_token获取粉丝信息，发现有1w多，还不错，提交了

2018-03-10 02:26 提交漏洞

2018-03-12 18:36 确认漏洞

2018-04-18 16:22 评定奖金

2018-04-18 16:38 同意奖金

• 官网：https://huoxian.cn
• 火线安全平台：
• 火线Zone