.DS_Store文件泄露和工具使用

最新推荐文章于 2025-03-06 16:08:01 发布

J0hnson666

最新推荐文章于 2025-03-06 16:08:01 发布

阅读量6.1k

点赞数 3

分类专栏： # 信息泄露漏洞文章标签： php

本文链接：https://blog.csdn.net/weixin_50464560/article/details/119902170

版权

信息泄露漏洞专栏收录该内容

17 篇文章

订阅专栏

本文介绍了在使用Xray扫描网站时发现的.DS_Store文件泄露问题。.DS_Store是Mac系统中用于存储文件夹显示信息的文件，如果被上传到线上环境，可能导致目录结构暴露，包括备份和源代码文件。为检测此类漏洞，可以使用ds_store_exp工具，该工具能够解析.DS_Store文件并揭示其包含的目录结构。通过示例，展示了如何使用该工具以及可能获取的信息，提醒开发者注意防止敏感信息泄露。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

简介

最近使用扫描器xray对相关网站进行漏洞扫描的时候，扫描结果中显示有一条.DS_Store文件泄露。但是之前没有去了解过，在此记录一下该漏洞的检测方法。

.DS_Store是Mac下Finder用来保存如何展示文件/文件夹的数据文件，每个文件夹下对应一个。

如果开发/设计人员将.DS_Store上传部署到线上环境，可能造成文件目录结构泄漏，特别是备份文件、源代码文件。

漏洞检测

1.漏洞检测工具：

https://github.com/lijiejie/ds_store_exp

2.工具使用方法：

从github上下载工具到本地后，先安装需要的相关库文件

pip2 install -r .\requirements.txt

执行以下命令对.DS_Store文件进行解析

 python2 .\ds_store_exp.py http://www.xxxx.com/website/face2face/01/pages/.DS_Store

可以看到，通过解析.DS_Store文件可以获取到此目录下的目录结构，如备份文件、源码文件等。可用来进行信息收集。
一个示例：

hd.zj.qq.com/
└── themes
    └── galaxyw
        ├── app
        │   └── css
        │       └── style.min.css
        ├── cityData.min.js
        ├── images
        │   └── img
        │       ├── bg-hd.png
        │       ├── bg-item-activity.png
        │       ├── bg-masker-pop.png
        │       ├── btn-bm.png
        │       ├── btn-login-qq.png
        │       ├── btn-login-wx.png
        │       ├── ico-add-pic.png
        │       ├── ico-address.png
        │       ├── ico-bm.png
        │       ├── ico-duration-time.png
        │       ├── ico-pop-close.png
        │       ├── ico-right-top-delete.png
        │       ├── page-login-hd.png
        │       ├── pic-masker.png
        │       └── ticket-selected.png
        └── member
            ├── assets
            │   ├── css
            │   │   ├── ace-reset.css
            │   │   └── antd.css
            │   └── lib
            │       ├── cityData.min.js
            │       └── ueditor
            │           ├── index.html
            │           ├── lang
            │           │   └── zh-cn
            │           │       ├── images
            │           │       │   ├── copy.png
            │           │       │   ├── localimage.png
            │           │       │   ├── music.png
            │           │       │   └── upload.png
            │           │       └── zh-cn.js
            │           ├── php
            │           │   ├── action_crawler.php
            │           │   ├── action_list.php
            │           │   ├── action_upload.php
            │           │   ├── config.json
            │           │   ├── controller.php
            │           │   └── Uploader.class.php
            │           ├── ueditor.all.js
            │           ├── ueditor.all.min.js
            │           ├── ueditor.config.js
            │           ├── ueditor.parse.js
            │           └── ueditor.parse.min.js
            └── static
                ├── css
                │   └── page.css
                ├── img
                │   ├── bg-table-title.png
                │   ├── bg-tab-say.png
                │   ├── ico-black-disabled.png
                │   ├── ico-black-enabled.png
                │   ├── ico-coorption-person.png
                │   ├── ico-miss-person.png
                │   ├── ico-mr-person.png
                │   ├── ico-white-disabled.png
                │   └── ico-white-enabled.png
                └── scripts
                    ├── js
                    └── lib
                        └── jquery.min.js
 
21 directories, 48 files

工具下载地址：https://github.com/lijiejie/ds_store_exp
工具使用参考：
http://www.lijiejie.com/ds_store_exp_ds_store_file_disclosure_exploit/