信息泄漏漏洞

目录

0x00 前言

0x01 信息泄漏原理

0x02 信息泄漏举例

1、访问/robots.txt或/sitemap.xml文件

2、网站错误访问时报错界面信息泄漏

3、目录遍历可访问URL

4、Google语法收集泄漏信息

5、社会工程学信息泄漏

0x03 信息泄漏防护

0x04 后记

0x05 友情链接

---

0x00 前言

        信息泄漏涵括的内容很广泛，简单来说就是网站无意间向网民泄漏的敏感信息。比如其他用户的个人数据（手机号、身份证号、银行卡号、家庭地址……），网站基础架构的技术与细节等等。其中最常见的，便是攻击者通过恶意方式与网站交互，从而引发信息泄漏问题，再进一步的配合其他技术，导致网站被侵入，造成不可估量的后果。

0x01 信息泄漏原理

        由于后台管理人员/网站设计者的疏忽或者不当的设计，导致原本不可见的数据资源被用户轻易获取。

0x02 信息泄漏举例

1、访问/robots.txt或/sitemap.xml文件

        网站中存在Robots协议，能够保护网站数据和敏感信息不暴露。比如，通过robots.txt文件限制网络爬虫爬取范围。当robots.txt文件内容过于详细，则导致网站的敏感目录文件泄漏，如后台，让我们更容易的知道了网站的某些可利用信息。

2、网站错误访问时报错界面信息泄漏

        在一些错误或非法输入下，服务器将产生302、400、404、500等错误界面，当错误界面中的错误信息过于详细，如包含服务器代码信息、数据库连接信息、敏感文件路径或者网站模板信息等等。

3、目录遍历可访问URL

        通过目录遍历获取存在的站点，访问这些站点的同时，可能得到泄漏的日志文件、历史残留文件和缓存文件等；通过审计前端代码/请求包/响应包都是可以查看一些可利用信息，例如一些开发人员写的注释中就可能泄漏了后台URL或测试的账号密码、图片链接中暴露的绝对路径、响应包中携带的验证码等等。

4、Google语法收集泄漏信息

        Googel语法是安全从业者最基础且必学的内容，当我们不知道一个站点的初始密码时，Google语法就能够很好的帮助我们了。除此之外，还有一些常用的语法，具体意思不写，可以自己试着使用下，可以联系笔者探讨。

        常用语法举例：

                ①site:URL index of

                ②site:URL inurl:admin/login

                ③site:URL filetype:pdf/doc/xls/txt

                ④site:URL filetype:xls 身份证 | 手机号 | 银行卡号

                ⑤site:URL intext：管理|后台|用户名|密码|系统|账号

5、社会工程学信息泄漏

        每当开学季，总会有许多的QQ群被创建，假设我们这个时候进去，偷偷的浏览一下群文件，发现了一个“XXX到校名单.xls”，这是不是就有信息泄漏了，后面的对该高校的渗透不就有了前提吗？

        其他网站，如GitHub中检索网站源代码、漏洞库中查找信息泄漏Nday，接上老前辈的钻石镐继续挥动……

0x03 信息泄漏防护

        1、开发工作者优化代码，网站管理员升级网站。

        2、提高个人信息安全意识，Q群中使用显示在线文档，且不上传群空间等。

        3、高校公开信息中，减少学号、身份证号和联系方式的同时出现，减少信息直接的泄漏。

        4、网站开发文档仅提供网站使用者查阅，减少流入网络的可能。

0x04 后记

        没有网络安全就没有国家安全，而个人信息安全构成网络安全。请注意个人隐私，勿让你的信息流落在外。--涂寐

0x05 友情链接