目录
1、访问/robots.txt或/sitemap.xml文件
0x00 前言
信息泄漏涵括的内容很广泛,简单来说就是网站无意间向网民泄漏的敏感信息。比如其他用户的个人数据(手机号、身份证号、银行卡号、家庭地址……),网站基础架构的技术与细节等等。其中最常见的,便是攻击者通过恶意方式与网站交互,从而引发信息泄漏问题,再进一步的配合其他技术,导致网站被侵入,造成不可估量的后果。
0x01 信息泄漏原理
由于后台管理人员/网站设计者的疏忽或者不当的设计,导致原本不可见的数据资源被用户轻易获取。
0x02 信息泄漏举例
1、访问/robots.txt或/sitemap.xml文件
网站中存在Robots协议,能够保护网站数据和敏感信息不暴露。比如,通过robots.txt文件限制网络爬虫爬取范围。当robots.txt文件内容过于详细,则导致网站的敏感目录文件泄漏,如后台,让我们更容易的知道了网站的某些可利用信息。
2、网站错误访问时报错界面信息泄漏
在一些错误或非法输入下,服务器将产生302、400、404、500等错误界面,当错误界面中的错误信息过于详细,如包含服务器代码信息、数据库连接信息、敏感文件路径或者网站模板信息等等。
3、目录遍历可访问URL
通过目录遍历获取存在的站点,访问这些站点的同时,可能得到泄漏的日志文件、历史残留文件和缓存文件等;通过审计前端代码/请求包/响应包都是可以查看一些可利用信息,例如一些开发人员写的注释中就可能泄漏了后台URL或测试的账号密码、图片链接中暴露的绝对路径、响应包中携带的验证码等等。
4、Google语法收集泄漏信息
Googel语法是安全从业者最基础且必学的内容,当我们不知道一个站点的初始密码时,Google语法就能够很好的帮助我们了。除此之外,还有一些常用的语法,具体意思不写,可以自己试着使用下,可以联系笔者探讨。
常用语法举例:
①site:URL index of
②site:URL inurl:admin/login
③site:URL filetype:pdf/doc/xls/txt
④site:URL filetype:xls 身份证 | 手机号 | 银行卡号
⑤site:URL intext:管理|后台|用户名|密码|系统|账号
5、社会工程学信息泄漏
每当开学季,总会有许多的QQ群被创建,假设我们这个时候进去,偷偷的浏览一下群文件,发现了一个“XXX到校名单.xls”,这是不是就有信息泄漏了,后面的对该高校的渗透不就有了前提吗?
其他网站,如GitHub中检索网站源代码、漏洞库中查找信息泄漏Nday,接上老前辈的钻石镐继续挥动……
0x03 信息泄漏防护
1、开发工作者优化代码,网站管理员升级网站。
2、提高个人信息安全意识,Q群中使用显示在线文档,且不上传群空间等。
3、高校公开信息中,减少学号、身份证号和联系方式的同时出现,减少信息直接的泄漏。
4、网站开发文档仅提供网站使用者查阅,减少流入网络的可能。
0x04 后记
没有网络安全就没有国家安全,而个人信息安全构成网络安全。请注意个人隐私,勿让你的信息流落在外。--涂寐