挖洞技巧：信息泄露之总结
发布时间 : 2018-01-15 16:57:36
![]()
大家好，我是剑影，这是我的第五篇原创文章。1月已经过半，很多童鞋应该都放寒假了，那么挖掘漏洞的时间就比较多啦，在挖掘的过程中，思路的积累以及创新是尤为重要的。在写这篇文章前，我实际上还没想好该写什么内容，然后回顾了以往挖掘各大SRC漏洞的历程，觉得写关于信息泄露这方面的问题比较OK些，于是，我根据自己的挖掘思路和网上的思路做了一个总结，希望能让你们学有收获。
信息漏洞的危害涉及到企业和用户，一直以来都是高风险的问题，本文章就两个方向进行讲述挖掘信息泄露的那些思路。一般用户评论处用户的信息都是加密的，比如显示的是用户手机号或邮箱等，就会直接对中间的一段数字进行加密，但是有些可能就没有加密，而是直接显示出来，那么这就造成了用户信息泄露问题。如果加密不当，直接游览用户评论处时进行抓包，然后查看返回包就可以直接看到明文，但有的时候会有2个参数，就比如name：1333******1这个值是加密的，但后面还会有一个testname这个参数就没有进行加密，从而导致用户信息泄露。这里有一些小技巧，就比如一个买卖市场，他有用户评论的地方，有一个秒杀抢购成功的展示用户的地方，还有一个是用户相互交流的地方，一般白帽子测试了第一个功能处发现不存在问题，然后就不继续测试其它相同功能处了，这个疏忽就可能会导致错过一个发现问题的机会，每个功能处，加密机制有时候就会被漏掉，就比如用户评论处用户信息加了密，但是秒杀抢购成功的展示用户的地方却没有加密，所以白帽子要更细心点。一般评论处都会有一个追加评论功能和一个商家回复功能，那么此时如果对这个功能参数没有加以加密，那么通过抓包游览查看返回包就可看到追加评论的用户信息和商家信息。有些评论功能当中支持艾特(@)他人，那么在这个评论当中你通过@他人，然后输入信息点击发送到评论处时，通关抓包就可看到刚刚@的那个用户的明文信息。当这个网站评论地方被搜索引擎爬虫到了，那么可以尝试利用搜索命令site:XXXX.com inurl:XX目录在搜索引擎当中搜索，如果加密不完全，那么就可以在搜索引擎当中看到明文信息。很多大型公司都有自家的金融平台，然后在转账处，当你输入对方的转账的账户，比如手机号或者邮箱，然后当你点击其它地方，它会向服务器发送一条验证信息，验证输入的此账户是否存在，如果存在，返回对应的手机号或者邮箱账户的用户姓名，比如*王（1333333XXX）这样的返回信息，那么如果此时前端加密不当，可以通过抓包拦截这条请求，查看返回信息，就可看到明文的姓名。一般在转账处输入手机号或邮箱账户的旁边，有一个历史转账信息，一个迷你的小页面，当你点击后会看到之前转账成功的信息，但是，如果此页面加密不全，那么在点击查看历史转账信息时直接抓包查看返回内容就可看到明文的姓名。有些平台内置了搜索功能，跟搜索引擎思路很像，同样也是随意搜索，如果此时搜索的结果包含用户信息这块，那么就可能会导致用户信息泄露问题。在个人页面当中，直接游览时直接抓包，查看返回包就可看到用户信息是否未加密完全。比如一些金融APP，如果加密不当，当点击个人界面时通过抓包查看返回包就可看到明文的身份证信息和用户名以及手机号。当然这里不是只有涉及金融APP方面的才会有这个问题，只要是可以查看个人页面处都可能存在。在查看银行卡信息那里，一般都是加了密的，但查看银行卡信息处时进行抓包查看返回包的时候就可看到明文的银行卡卡号信息和姓名信息。这个问题属于客服安全方面意思不足，大一点的来看就是公司没有对客服进行安全培训等，当你询问客服某手机号对应的姓名时，客服就会直接把姓名发你，当然这要考验你是怎么问的了，还有如果失败了不要放弃，换一个客服继续测试。很多平台需要进行实名制认证，在上传实名制所需要的身份证照片等信息图片时，如果没有对所产生的文件名格式进行复杂化的话，那么极有可能会存在任意查看，通过批量的方式就可以进行这些步骤，比如你上传了图片，服务器生成的图片地址是XXX.com/xxx/xx/012313.jpg这样短的数字格式文件名的话，就会存在该问题。购物平台当中，在添加地址或修改地址的地方，如果权限没过滤好，就可以越权进行查看任意用户的地址信息。在某些平台当中，支持添加子账户，然后随便添加一个子账户，然后在查看该子账户的时候进行抓包，修改其ID值，就可以查看任意账户信息有些平台有操作日志或其它日志功能，那么如果此时对当前用户的权限过滤不当，那么就可以查看全部用户操作时产生的日志，从而导致信息泄露。在很多金融平台当中，在修改昵称那里或者查看个人信息那里，提交时抓包，修改其用户值为存在用户的任意值，那么就可能造成查看任意用户信息的问题。如果你进入了一些内部员工平台，那么如果具有搜索功能，就比如你输入了员工工号然后它会返回这个员工的所有在职信息，那么此时你可以通过抓包批量进行提交员工工号，就可造成大范围的信息泄露。随便买一个东西生成订单，如果此时权限控制不当，就可以越权查看到任意用户的订单，那么信息也自认而然的泄露出来了。如果权限控制不当，可导致任意用户密码修改的话，那么登录后就可查看该用户的任意信息，这也就导致了用户信息泄露。在下单的时候修改其用户ID为任意存在用户的ID，然后下单，然后查看刚刚下单的信息，就可看到该用户的收货地址信息，只要对方设置了收货地址。很多业务网站在上线的时候都忘记把测试时的接口进行关闭，从而导致这个接口可以查询大量用户信息。那么此类接口怎么找呢？其中之一的方法通过Github.com网站进行搜索相关域名进行查找。注入可以说是非常非常的严重，因为注入往往都能得到很多信息，如果没做好相关过滤以及防护，就可导致注入，从而数据库内的各种数据面对裸露的危险。 以上就是关于挖掘用户信息泄露方向的思路了，我试着努力回想，但目前只能总结到这几个点，如果还有更多思路，欢迎在评论处留言！
在上传图片处，这里我说下最可能存在问题的点，就是关于上传相关证明，进行实名制上传信息等功能页面，在上传图片时进行抓包，然后查看返回包，那么就可看到当前服务器的绝对路径信息。一些XML限制或删除不完全，可导致服务器等信息泄露。很多，如：Apache Tomcat、Struts2、CMS、zabix、Nginx等等，例如Nginx的某版本解析漏洞，就可造成路径信息泄露。在处理报错信息的问题上如果处理不当，就可导致路径信息泄露，比如访问一些不存在的文件等思路。Github，很不错的开源社区平台。一些员工喜欢将自己的信息上传到这平台上，但是往往忽视了安全，有时这上传的代码当中就可能包含很多内部测试员工的账户以及密码信息等。在搜索QQ群那里，通过搜索企业昵称，往往都可以搜索出来关于企业员工或企业方面的信息，一般都会贴在公告当中，比如某某测试账户等。当然，你也可以申请加入群进行查看群文件，看是否有铭感的信息。百度贴吧当中，一般都有公司员工创建的贴吧，如果安全意思不足，那么就会泄露相关员工工号，可用作暴力破解的字典。在一些涉及内部员工方面的系统，如果员工密码为弱密码，那么就可通过暴力破解方式进行尝试登录，如果成功爆破到了员工账户，那么一般只要是内部员工系统该账户都可以登录，那么所造成的影响也是很大的。Github，一些员工如果安全意识不足，同样上传的代码当中就包含了数据库连接信息以及服务器信息。利用搜索QQ群的思路，如果员工的安全意识不足，那么数据库连接信息以及服务器信息就会在公告或群文件当中同样在XML文件当中，也可能会发现数据库连接信息以及服务器信息。svn是一个开放源代码的版本控制系统，如果没有加以限制或者删除，那么就可以游览相关的比较隐蔽性的源码。一些数据库相关文件如果删除不当或者摆放位置不当，那么极有可能被下载下来，造成危害。比如其它类型的文件，如Txt、Doc、Excel等文件，如果包含铭感信息，那么危害也是显而易见的。一些比较隐私性的域名可能会包含在APP本地文件当中，比如某内部员工登录系统的APP，但是由于有证书校验，你也抓不到数据包，此时你可以查看该APP的本地文件，然后就可看到本APP内调用的是哪些域名，然后还有相关的域名。从APP内提取域名的相关程序很多，Github很多，这里我提供一个某作者写的Windows下的工具吧，需要Net环境哦，下载地址：手势密码也存在在本地文件当中，如果没最好相关校验或加密，那么手势密码就可能会泄露并且被利用。一些APP问题就是把用户登录的信息保存在本地，而且账户密码都是以明文保存在本地文件或本地Sqlite数据库当中，很容易被利用。同样，一些APP也会把登录成功的Cookie保存在本地，那么只要找到相关文件复制下来这个Cookie，就可以任意登录了。当然，访问这些文件是需要ROOT权限的，以上就是APP方面的信息泄露问题了！
信息泄露不管是泄露哪方面的，都需要重视，信息一直伴随着每个人到终身，如何才能保证在这个过程当中不被泄露和利用，那么就需要各位白帽子来维护以及厂商来重视，让信息化的今天，更安全。感谢那些支持我的朋友们，你们的一点点支持对我来说都有着莫大的鼓励。最后，发现问题，解决问题，让世界更美，下次文章见~
本文翻译自07v8
原文链接。如若转载请注明出处。
商务合作，文章发布请联系 anquanke@360.cn
分享到：
earac分享到： 
发表评论
您还未登录，请先登录。
登录