本文主要是介绍25届网安秋招,信息泄露常问之配置信息泄露,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!
吉祥知识星球http://mp.weixin.qq.com/s?__biz=MzkwNjY1Mzc0Nw==&mid=2247485367&idx=1&sn=837891059c360ad60db7e9ac980a3321&chksm=c0e47eebf793f7fdb8fcd7eed8ce29160cf79ba303b59858ba3a6660c6dac536774afb2a6330#rd
《网安面试指南》http://mp.weixin.qq.com/s?__biz=MzkwNjY1Mzc0Nw==&mid=2247484339&idx=1&sn=356300f169de74e7a778b04bfbbbd0ab&chksm=c0e47aeff793f3f9a5f7abcfa57695e8944e52bca2de2c7a3eb1aecb3c1e6b9cb6abe509d51f&scene=21#wechat_redirect
《Java代码审计》
《Web安全》
《应急响应》
《护网资料库》
1.1.1 配置信息泄漏
1.1.1.1 漏洞原理
应用系统由于配置不当,没有考虑相关的安全隐患,造成相关的配置文件泄露,泄露相关的配置。
1.1.1.2 漏洞危害
攻击者通过配置信息泄露获取敏感数据,为进一步攻击创造条件,设置通过泄露的配置直接控制数据库或网站。
1.1.1.3 检测条件
网站正常运行;
1.1.1.4 检测方法
1.通过工具爬虫或扫描得到配置文件的路径,从而找到配置数据。
如tomcat的配置文件泄漏问题,使用目录扫描工具如Dirsearch等工具对目标网站进行扫描。
发现系统的配置文件信息泄漏。
2.对网页源代码的查看,找到相关的配置信息或是配置文件路径。
在目标主页中点击右键,查看网页源代码,搜索config字段或在源码中逐行查找,分析是否存在系统的配置信息或配置文件路径信息。
1.1.1.6 修复建议
1、对配置文件目录做好访问控制。(如针对tomcat的配置文件信息泄漏,在tomcat目录的conf/server.xml文件中,将appBase字段进行赋值)
2、将泄漏在源码中的配置信息或配置文件信息删除。
推荐阅读:
学了这篇面试经,轻松收割网络安全的offer
护网主防资料库、护网设备讲解、护网初中高级别面试
Java代码审计零基础入门到整套代码审计
Web安全:靶场、渗透工具、信息收集、输入输出漏洞、业务逻辑漏洞
【护网必备技能】应急响应知识库
这篇关于25届网安秋招,信息泄露常问之配置信息泄露的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!