信息泄露漏洞

前言:信息泄露包括的内容很广泛,很多漏洞都可以归为信息泄露类的漏洞,所以这类漏洞需要去细细消化其中的每个技术.
本篇笔记主要参考burp学院的信息泄露相关内容

什么是信息泄露

是指网站无意间向用户泄露敏感信息。根据上下文，网站可能会将各种信息泄漏给潜在的攻击者，包括：

• 有关其他用户的数据，例如用户名或财务信息
• 敏感的商业或商业数据
• 有关网站及其基础架构的技术细节

泄露敏感的用户或业务数据的危险相当明显，但泄露技术信息有时可能同样严重。尽管某些信息用途有限，但它可能是暴露其他攻击面的起点，其中可能包含其他有趣的漏洞。
有时，敏感信息可能会不慎泄露给仅以正常方式浏览网站的用户。但是，更常见的是，攻击者需要通过以意外或恶意的方式与网站进行交互来引发信息泄露。然后，他们将仔细研究网站的响应，以尝试找出有趣的行为。

信息泄露的例子

信息公开的一些基本示例如下：

• 通过robots.txt文件或目录列表显示隐藏目录的名称，它们的结构及其内容
• 通过临时备份提供对源代码文件的访问
• 在错误消息中明确提及数据库表或列名
• 不必要地暴露高度敏感的信息，例如信用卡详细信息
• 在源代码中对API密钥，IP地址，数据库凭证等进行硬编码
• 通过应用程序行为的细微差别来提示是否存在资源，用户名等

信息泄露漏洞原理

由于后台人员的疏忽或者不当的设计，导致不应该被前端用户看到的数据被轻易的访问到。 比如：

• 通过访问url下的目录，可以直接列出目录下的文件列表;