干货｜浅析敏感信息泄露漏洞
1、免责声明
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途。
2、内容速览
敏感信息泄露
描述：
敏感数据包括但不限于：口令、密钥、证书、会话标识、License、隐私数据（如短消息的内容）、授权凭据、个人数据（如姓名、住址、电话等）等，在程序文件、配置文件、日志文件、备份文件及数据库中都有可能包含敏感数据。
检测条件：
Web业务运行正常。Web中存储敏感的数据信息。
检测方法：
- 检测形式多样，工具爬虫扫描得到敏感文件的路径，从而找到敏感数据，
- 手工挖掘，根据web容器或者网页源代码的查看，找到敏感信息。
漏洞修复：
安全建议或者修复方案：
- 禁止在代码中存储敏感数据：禁止在代码中存储如数据库连接字符串、口令和密钥之类的敏感数据，这样容易导致泄密。用于加密密钥的密钥可以硬编码在代码中。
- 禁止密钥或帐号的口令以明文形式存储在数据库或者文件中：密钥或帐号的口令必须经过加密存储。例外情况，如果Web容器的配置文件中只能以明文方式配置连接数据库的用户名和口令，那么就不用强制遵循该规则，将该配置文件的属性改为只有属主可读写。
- 禁止在 cookie 中以明文形式存储敏感数据：cookie信息容易被窃取，尽量不要在cookie中存储敏感数据；如果条件限制必须使用cookie存储敏感信息时，必须先对敏感信息加密再存储到cookie。
- 禁止在隐藏域中存放明文形式的敏感数据。
- 禁止用自己开发的加密算法，必须使用公开、安全的标准加密算法。
- 禁止在日志中记录明文的敏感数据：禁止在日志中记录明文的敏感数据（如口令、会话标识jsessionid等）， 防止敏感信息泄漏。
- 禁止带有敏感数据的Web页面缓存：带有敏感数据的Web页面都应该禁止缓存，以防止敏感信息泄漏或通过代理服务器上网的用户数据互窜问题。
软件敏感信息
- 操作系统版本 可用namp扫描得知
- 中间件的类型、版本 http返回头404报错页面使用工具(如whatweb)
- Web程序(cms类型及版本、敏感文件) 可用whatweb、cms_identify
Web敏感信息
- phpinfo()信息泄漏 http://[ip]/test.php和http://[ip]/phpinfo.php
- 测试页面泄漏在外网 test.cgi、phpinfo.php、info.php等 编辑器备份文件泄漏在外网 http://[ip]/.test.php.swp http://[ip]/test.php.bak http://[ip]/test.jsp.old http://[ip]/cgi~
- 版本管理工具(如git)文件信息泄漏 http://[ip]/.git/config http://[ip]/CVS/Entriesp http://[ip]/.svn/entriesp
- HTTP认证泄漏漏洞 http://[ip]/basic/index.phpWeb目录开启了HTTP Basic认证，但未限制IP，导致可暴力破解账号、密码
- 管理后台地址泄漏 http://[ip]/login.php http://[ip]/admin.php http://[ip]/manager.php http://[ip]/admin_login.php
- 泄漏员工邮箱、分机号码泄漏邮箱及分机号码可被社工，也可生成字典
- 错误页面暴漏信息面熟sql错误、php错误、暴漏cms版本等
- 探针文件
- robots.txt
- phpMyAdmin
- 网站源码备份文件(www.rar/sitename.tar.gz/web/zip等)
- 其他
网络信息泄漏
- DNS域传送漏洞
- 运维监控系统弱口令
- 网络拓扑泄漏
- zabbix弱口令
- zabbix sql注入等
第三方软件应用
- github上源码、数据库、邮箱密码泄漏搜类似：smtp 163 password关键字
- 百度网盘被员工不小心上传敏感文件
- QQ群被员工不小心上传敏感文件
敏感信息搜集工具
- https://github.com/ring04h/weak?lescan
- https://github.com/lijiejie/BBScan
- whatweb
- dnsenum
- github
Github上检索示例
本文参与?腾讯云自媒体分享计划，分享自微信公众号。
原始发表：2022-03-24，如有侵权请联系?cloudcommunity@tencent.com 删除
评论
登录后参与评论
推荐阅读