正文

挖洞技巧：信息泄露之总结

admin
admin V管理员 /0 评论 /13 阅读
1230
此篇文章发布距今已超过1232天，您需要注意文章的内容或图片是否可用！

大家好，我是剑影，这是我的第五篇原创文章。

1月已经过半，很多童鞋应该都放寒假了，那么挖掘漏洞的时间就比较多啦，在挖掘的过程中，思路的积累以及创新是尤为重要的。

在写这篇文章前，我实际上还没想好该写什么内容，然后回顾了以往挖掘各大SRC漏洞的历程，觉得写关于信息泄露这方面的问题比较OK些，于是，我根据自己的挖掘思路和网上的思路做了一个总结，希望能让你们学有收获。

信息漏洞的危害涉及到企业和用户，一直以来都是高风险的问题，本文章就两个方向进行讲述挖掘信息泄露的那些思路。

Web方面的信息泄露

0x01  用户信息泄露

①：评论处

  • 一般用户评论处用户的信息都是加密的，比如显示的是用户手机号或邮箱等，就会直接对中间的一段数字进行加密，但是有些可能就没有加密，而是直接显示出来，那么这就造成了用户信息泄露问题。

  • 如果加密不当，直接游览用户评论处时进行抓包，然后查看返回包就可以直接看到明文，但有的时候会有2个参数，就比如name：1333******1这个值是加密的，但后面还会有一个testname这个参数就没有进行加密，从而导致用户信息泄露。

    这里有一些小技巧，就比如一个买卖市场，他有用户评论的地方，有一个秒杀抢购成功的展示用户的地方，还有一个是用户相互交流的地方，一般白帽子测试了第一个功能处发现不存在问题，然后就不继续测试其它相同功能处了，这个疏忽就可能会导致错过一个发现问题的机会，每个功能处，加密机制有时候就会被漏掉，就比如用户评论处用户信息加了密，但是秒杀抢购成功的展示用户的地方却没有加密，所以白帽子要更细心点。

  • 一般评论处都会有一个追加评论功能和一个商家回复功能，那么此时如果对这个功能参数没有加以加密，那么通过抓包游览查看返回包就可看到追加评论的用户信息和商家信息。

  • 有些评论功能当中支持艾特(@)他人，那么在这个评论当中你通过@他人，然后输入信息点击发送到评论处时，通关抓包就可看到刚刚@的那个用户的明文信息。

  • 当这个网站评论地方被搜索引擎爬虫到了，那么可以尝试利用搜索命令site:XXXX.com inurl:XX目录在搜索引擎当中搜索，如果加密不完全，那么就可以在搜索引擎当中看到明文信息。

    关于这类的信息泄露问题我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0104766.html


②：转账处

  • 很多大型公司都有自家的金融平台，然后在转账处，当你输入对方的转账的账户，比如手机号或者邮箱，然后当你点击其它地方，它会向服务器发送一条验证信息，验证输入的此账户是否存在，如果存在，返回对应的手机号或者邮箱账户的用户姓名，比如*王（1333333XXX）这样的返回信息，那么如果此时前端加密不当，可以通过抓包拦截这条请求，查看返回信息，就可看到明文的姓名。

    关于这类问题，我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0124969.html

  • 一般在转账处输入手机号或邮箱账户的旁边，有一个历史转账信息，一个迷你的小页面，当你点击后会看到之前转账成功的信息，但是，如果此页面加密不全，那么在点击查看历史转账信息时直接抓包查看返回内容就可看到明文的姓名。


③：搜索处

  • 有些平台内置了搜索功能，跟搜索引擎思路很像，同样也是随意搜索，如果此时搜索的结果包含用户信息这块，那么就可能会导致用户信息泄露问题。

    关于这类问题，我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2014-069909.html


④：个人页面处

  • 在个人页面当中，直接游览时直接抓包，查看返回包就可看到用户信息是否未加密完全。比如一些金融APP，如果加密不当，当点击个人界面时通过抓包查看返回包就可看到明文的***信息和用户名以及手机号。

    当然这里不是只有涉及金融APP方面的才会有这个问题，只要是可以查看个人页面处都可能存在。

  • 在查看***信息那里，一般都是加了密的，但查看***信息处时进行抓包查看返回包的时候就可看到明文的***卡号信息和姓名信息。


⑤：客服处

  • 这个问题属于客服安全方面意思不足，大一点的来看就是公司没有对客服进行安全培训等，当你询问客服某手机号对应的姓名时，客服就会直接把姓名发你，当然这要考验你是怎么问的了，还有如果失败了不要放弃，换一个客服继续测试。


越权方面的用户信息泄露

①：任意查看

  • 很多平台需要进行实名制认证，在上传实名制所需要的***照片等信息图片时，如果没有对所产生的文件名格式进行复杂化的话，那么极有可能会存在任意查看，通过批量的方式就可以进行这些步骤，比如你上传了图片，服务器生成的图片地址是XXX.com/xxx/xx/012313.jpg这样短的数字格式文件名的话，就会存在该问题。

  • 购物平台当中，在添加地址或修改地址的地方，如果权限没过滤好，就可以越权进行查看任意用户的地址信息。

  • 在某些平台当中，支持添加子账户，然后随便添加一个子账户，然后在查看该子账户的时候进行抓包，修改其ID值，就可以查看任意账户信息

  • 有些平台有操作日志或其它日志功能，那么如果此时对当前用户的权限过滤不当，那么就可以查看全部用户操作时产生的日志，从而导致信息泄露。

  • 在很多金融平台当中，在修改昵称那里或者查看个人信息那里，提交时抓包，修改其用户值为存在用户的任意值，那么就可能造成查看任意用户信息的问题。

  • 如果你进入了一些内部员工平台，那么如果具有搜索功能，就比如你输入了员工工号然后它会返回这个员工的所有在职信息，那么此时你可以通过抓包批量进行提交员工工号，就可造成大范围的信息泄露。

  • 随便买一个东西生成订单，如果此时权限控制不当，就可以越权查看到任意用户的订单，那么信息也自认而然的泄露出来了。

    关于这方面，我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2014-083157.html


②：任意重置

  • 如果权限控制不当，可导致任意用户密码修改的话，那么登录后就可查看该用户的任意信息，这也就导致了用户信息泄露。


③：任意修改

  • 在下单的时候修改其用户ID为任意存在用户的ID，然后下单，然后查看刚刚下单的信息，就可看到该用户的收货地址信息，只要对方设置了收货地址。


接口方面的用户信息泄露

  • 很多业务网站在上线的时候都忘记把测试时的接口进行关闭，从而导致这个接口可以查询大量用户信息。那么此类接口怎么找呢？

    其中之一的方法通过Github.com网站进行搜索相关域名进行查找。

    关于这类问题，我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0116563.html


注入方面的用户信息泄露

  • 注入可以说是非常非常的严重，因为注入往往都能得到很多信息，如果没做好相关过滤以及防护，就可导致注入，从而数据库内的各种数据面对裸露的危险。

 以上就是关于挖掘用户信息泄露方向的思路了，我试着努力回想，但目前只能总结到这几个点，如果还有更多思路，欢迎在评论处留言！


 0x02  服务器路径信息泄露

①：上传图片处

  • 在上传图片处，这里我说下最可能存在问题的点，就是关于上传相关证明，进行实名制上传信息等功能页面，在上传图片时进行抓包，然后查看返回包，那么就可看到当前服务器的绝对路径信息。


②：XML处

  • 一些XML限制或删除不完全，可导致服务器等信息泄露。

    详细例子:http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0123762.html


③：第三方的服务当中

  • 很多，如：Apache Tomcat、Struts2、CMS、zabbix、Nginx等等，例如Nginx的某版本解析漏洞，就可造成路径信息泄露。

    关于这方面我找到了相关例子:

    http://wooyun.jozxing.cc/static/bugs/wooyun-2013-019253.html

    http://wooyun.jozxing.cc/static/bugs/wooyun-2012-04655.html


④：利用报错问题

  • 在处理报错信息的问题上如果处理不当，就可导致路径信息泄露，比如访问一些不存在的文件等思路。

    这里我找到了相关例子：

    http://wooyun.jozxing.cc/static/bugs/wooyun-2012-010115.html

    http://wooyun.jozxing.cc/static/bugs/wooyun-2011-02219.html

    http://wooyun.jozxing.cc/static/bugs/wooyun-2012-09901.html

 以上就是关于服务器路径信息泄露问题！


 0x03  员工信息泄露

①：各第三方平台当中

  • Github，很不错的开源社区平台。一些员工喜欢将自己的信息上传到这平台上，但是往往忽视了安全，有时这上传的代码当中就可能包含很多内部测试员工的账户以及密码信息等。

    关于这方面我找到了相关例子：

    http://wooyun.jozxing.cc/static/bugs/wooyun-2016-0177720.html

    http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0164337.html

  • 在搜索QQ群那里，通过搜索企业昵称，往往都可以搜索出来关于企业员工或企业方面的信息，一般都会贴在公告当中，比如某某测试账户等。

    当然，你也可以申请加入群进行查看群文件，看是否有铭感的信息。

    这里我找到了相关例子：

    http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0128511.html

    http://wooyun.jozxing.cc/static/bugs/wooyun-2015-093927.html

    http://wooyun.jozxing.cc/static/bugs/wooyun-2016-0208105.html

  • 百度贴吧当中，一般都有公司员工创建的贴吧，如果安全意思不足，那么就会泄露相关员工工号，可用作暴力破解的字典。


②：弱密码问题

  • 在一些涉及内部员工方面的系统，如果员工密码为弱密码，那么就可通过暴力破解方式进行尝试登录，如果成功爆破到了员工账户，那么一般只要是内部员工系统该账户都可以登录，那么所造成的影响也是很大的。

  以上就是关于员工信息泄露的问题！


0x04  数据库信息以及服务器信息泄露

①：各第三方平台当中

  • Github，一些员工如果安全意识不足，同样上传的代码当中就包含了数据库连接信息以及服务器信息。

    关于这类问题，我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2016-0180848.html

  • 利用搜索QQ群的思路，如果员工的安全意识不足，那么数据库连接信息以及服务器信息就会在公告或群文件当中


②：XML处

  • 同样在XML文件当中，也可能会发现数据库连接信息以及服务器信息。


③：svn处

  • svn是一个开放源代码的版本控制系统，如果没有加以限制或者删除，那么就可以游览相关的比较隐蔽性的源码。

    关于这类的问题，我找到了相关例子：

    http://wooyun.jozxing.cc/static/bugs/wooyun-2016-0199607.html

    http://wooyun.jozxing.cc/static/bugs/wooyun-2016-0191202.html