细思极恐.....那些你不经意间的Web敏感文件泄露....

1、免责声明

本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途。

2、内容速览

文件泄露，根据泄露的信息敏感程度，在WEB漏洞中可以算是中危甚至高危的漏洞，本篇文章就来介绍下一些常见的Web文件泄露, 主要分为由版本管理软件导致的泄露, 配置不当导致的泄露和配置错误导致的泄露.

一、版本管理软件造成的泄露

Git

git可以说是当今最受欢迎的版本控制/版本管理软件了, 很多基于git的云端托管仓库都提供了免费的托管服务, 甚至有不少还支持免费私有仓库, 如bitbucket和国内的gitosc(开源中国)等.

关键文件

git在初始化项目的时候, 会在项目的根目录(可用git rev-parse --show-toplevel查看)创建一个名为.git的隐藏文件夹, 里面包含了本地所有commit的历史记录. 如果无意间将这个目录置于WEB的路径下让用户可以访问, 那么也就泄露了几乎所有的源代码和其他其他敏感信息.

泄露内容

所有该项目的源代码
私有仓库的地址
私密的配置信息
所有commiter的邮箱账号信息
(可能)内部的账号和密码
...

利用方法

常规的利用方法就是下载整个目录, 然后用git命令回滚整个项目:

wget -r --no-parent --mirror http://www.example.com/.git cd www.example.com && git reset --hard

当然也有一些自动化利用的脚本:

dvcs-ripper: 基于perl的工具,除了git还支持很多版本管理系统- GitHack

修复建议

一般基于MVC的现代WEB框架都不会直接挂载文件, 但如果是基于PHP,ASP等语言的项目, 还是会存在安全隐患,

虽然可以通过配置WEB服务器(apache/nginx等)来拒绝对.git路径的访问，但也会出现被意外绕过的风险。

最好的办法就是在项目新建一个www目录来存放源代码文件。

hg/Mercurial

Mercurial的意思是水银, 所以缩写成hg(汞), 也是一个版本管理软件. 用法和git有点类似, 但也保留了svn命令简明的特点, 而且原生地支持Windows/MacOS/Linux三大平台, 不像git需要MinGW才得以运行, 所以当今也有不少人偏向于用hg做版本控制. 关于他们有一些讨论, 如为什么要用hg,为什么选hg而不是git等等, 我认为也是值得了解的.

关键文件

与git类似, hg在初始化项目时, 会在项目的根目录下创建一个名为.hg的隐藏文件夹, 里面包含了代码和分支的修改记录和开发人员的相关信息.

泄露内容

项目的源代码
项目仓库地址
(可能)仓库的用户名
其他

利用方法

手动利用, 下载回滚:

wget -r --no-parent --mirror http://www.example.com/.hg cd www.example.com && hg revert

也可以用上面提到的dvcs-ripper工具来利用

修复建议

同git

svn/Subversion

svn, 即Subversion, 在github之前曾经也是炙手可热的版本管理工具, 虽然已经日渐式微, 但在很多国企, 研究院等地方依然是作为版本管理的主要工具. 对于一些历史悠久的项目, 比如LLVM, 出于历史原因, 也是主要使用svn管理源代码.

关键文件

svn同样在项目根目录下会创建一个名为.svn的隐藏文件夹, 包含了所有分支commit信息和代码记录.

泄露内容

所有该项目的源代码
svn仓库的地址
svn仓库所属用户的用户名
...

利用方法

同样是先下载目录, 然后回滚:

wget -r --no-parent --mirror http://www.example.com/.svn cd www.example.com && svn revert --recursive .

工具&脚本:

dvcs-ripper: 支持旧版和新版的svn
Seay-Svn: 法师的工具,基于Windows平台

修复建议

同git

bzr/Bazaar

bzr也是个版本控制工具, 虽然不是很热门, 但它也是多平台支持, 并且有不错的图形界面, 所以也有一些人认为bzr比git要好用, 只是对于渗透测试人员来说, 其实都无所谓就是了.

关键文件

bzr在初始化项目时(bzr init/init-repo), 会在项目根目录产生名为.bzr的隐藏目录, 同样暴露了源代码和用户信息.

泄露内容

源代码
仓库地址
开发者的信息
...

利用方法

没用过bzr工具, 不过查询文档得知可用bzr revert命令来进行回滚:

wget -r --no-parent --mirror http://www.example.com/.bzr cd www.example.com && bzr revert

当然dvcs-ripper工具也是可以的.

修复建议

同git

cvs

CVS是一个年代比较久远的版本控制系统, 通过它可以追踪源代码的历史变化记录. 但是因为功能比较简单, 而且不支持分支, 所以很早前就被上面提到的svn替代了.

关键文件

cvs项目在初始化(cvs checkout project)的时候, 会在project目录下创建一个名为CVS的目录, 其中保存了各个文件的修改和commit记录. 通过此目录可以获取代码的历史版本. 其中两个关键文件为:CVS/Root和CVS/Entries, 分别记录了项目的根信息和所有文件的结构

泄露内容

因为是纯客户端的工具, 所以只会泄露源代码

利用方法

下载CVS文件夹然后通过cvs命令获取源码信息, 不过似乎没有直接的回滚操作, 需要做点额外的处理.

代码语言：javascript复制

wget -r --no-parent --mirror http://www.example.com/CVS
cd www.example.com && cvs diff *

或者直接用工具dvcs-ripper

修复建议

如果你还在用CVS, 没准你还在用perl写cgi吧? ...

其他

Windows IIS / Apache 目录穿越

目录穿越漏洞原理比较简单, 程序在实现上没有充分过滤用户输入的../之类的目录跳转符, 导致恶意用户可以访问web根目录的上级从而遍历服务器上的任意文件. 虽然web服务器本身会禁止访问web文件夹以外的地方, 但如果是开发引入的动态页面, 又没有过滤好用户输入, 就可能会出现穿越甚至目录遍历. 甚至web服务器本身也曾经有类似的漏洞, 比如Apache Tomcat的UTF-8解析漏洞, 具体利用和绕过可以参考其他网上的文章, 这里限于篇幅就不展开了.

Nginx配置安全

Nginx的配置选项之多,并不是所有人都能熟悉,但不表示随便百度一下复制粘贴就配置了,最好还是先看下官方文档对应选项的作用和用法, 可以避免许多致命的错误. 例如Nginx在代理静态文件时, 如果不小心在配置文件中写错了一个字符:

代码语言：javascript复制

location /static {
    alias /home/web/static/;
}

就会导致访问http://example.com/static../时可以访问上级目录, 从而访问到敏感的信息.

后记

敏感信息泄露时有发生, 而且通常会造成不可预知的危害. 本文讨论了一些文件泄露的例子, 可以说是信息泄露的一个子集. 文件泄露很大程度上是由于人的粗心导致, 因此最好的预防办法就是规范开发部署流程, 尽量减少人为操作引入的失误. 引用猪猪侠的一句话:"我们面对的对手都是信息挖掘和资源整合的高手,他们只要赢一次,我们就永远输了."

参考资料

[1]git:https://git-scm.com/

[2]dvcs-ripper:https://github.com/kost/dvcs-ripper

[3]GitHack:https://github.com/lijiejie/GitHack

[4]Mercurial:https://www.mercurial-scm.org/

[5]为什么要用hg:https://www.atlassian.com/blog/software-teams/mercurial-vs-git-why-mercurial

[6]为什么选hg而不是git:http://hgbook.red-bean.com/read/how-did-we-get-here.html

[7]dvcs-ripper:https://github.com/kost/dvcs-ripper

[8]svn:https://subversion.apache.org/

[9]dvcs-ripper:https://github.com/kost/dvcs-ripper

[10]Seay-Svn:http://www.cnseay.com/3417/

[11]bzr:http://bazaar.canonical.com/en/

[12]bzr比git要好用:http://doc.bazaar.canonical.com/migration/en/why-switch-to-bazaar.html

[13]dvcs-ripper:https://github.com/kost/dvcs-ripper

[14]CVS:http://www.thathost.com/wincvs-howto/cvsdoc/cvs_toc.html

[15]dvcs-ripper:https://github.com/kost/dvcs-ripper

[16]BitKeeper:http://www.bitkeeper.org/

[17]Proprietary:https://en.wikipedia.org/wiki/Proprietary_format

[18]ds_store_exp:https://github.com/lijiejie/ds_store_exp

[19]Servlet 文档:http://download.oracle.com/otn-pub/jcp/servlet-2.4-fr-spec-oth-JSpec/servlet-2_4-fr-spec.pdf

[20]猪猪侠的字典:https://github.com/ring04h/weakfilescan/blob/master/dict/configfile.lst

[23]git官方文档:https://git-scm.com/

[24]svn官方文档:https://subversion.apache.org/

[25]hg官方文档:https://www.mercurial-scm.org/

[26]bzr官方文档:http://bazaar.canonical.com/en/

[27]cvs官方文档:http://www.thathost.com/wincvs-howto/cvsdoc/cvs_toc.html

[28].git泄露的利用:https://en.internetwache.org/dont-publicly-expose-git-or-how-we-downloaded-your-websites-sourcecode-an-analysis-of-alexas-1m-28-07-2015/

[29]文件泄露-知乎专栏:https://zhuanlan.zhihu.com/p/21296806

[30]WEB-INF:https://stackoverflow.com/questions/19786142/what-is-web-inf-used-for-in-a-java-ee-web-application

[31]三个案例看Nginx配置安全:https://www.leavesongs.com/PENETRATION/nginx-insecure-configuration.html

https http 网络安全网站 svn

0 人点赞

细思极恐.....那些你不经意间的Web敏感文件泄露....

一、版本管理软件造成的泄露

Git

关键文件

泄露内容

利用方法

修复建议

hg/Mercurial

关键文件

泄露内容

利用方法

修复建议

svn/Subversion

关键文件

泄露内容

利用方法

修复建议

bzr/Bazaar

关键文件

泄露内容

利用方法

修复建议

cvs

关键文件

泄露内容

利用方法

修复建议

其他

二、配置不当导致的泄露

.DS_Store文件泄露

利用方法

修复建议

WEB-INF泄露

利用方法

修复建议

三、备份文件泄露

利用方法

修复建议

四、配置文件泄露

利用方法

修复建议

五、配置错误导致的泄露

Windows IIS / Apache 目录穿越

Nginx配置安全

后记

参考资料

`.DS_Store`文件泄露