简介 #
敏感信息(也称作敏感数据)是指由权威机构确定的必须受保护的信息。不当使用或未经授权被人接触或修改后,会产生不利于国家和组织的负面影响和利益损失,或不利于个人依法享有的个人隐私的所有信息。
敏感信息根据其信息种类的不同,可大致分为个人敏感信息、商业敏感信息、国家的敏感信息。
敏感信息包括但不限于:
账号、密码、密钥、证书、会话标识、License、隐私数据(如短消息的内容)、授权凭据、个人数据(姓名、住址、电话、身份证号码)、程序文件、配置文件、日志文件、备份文件及数据库、网站物理地址、phpinfo信息、代码、服务器端口、banner信息等。
比如,渗透测试时在URL后添加随机字符,使网站报错,某些未经过安全设置的网站就会暴露中间件信息、版本号、框架、CMS、物理地址、本页代码、数据库配置文件代码等等。
产生原因 #
-
由于后台人员的疏忽或设计不当,导致不应该被前端用户看到的数据被轻易访问到;
-
发布时未能从公共内容中删除内部内容;
-
网站和相关技术的不安全配置。
例如,未能禁用调试和诊断功能,有时可以为攻击者提供有用的工具来帮助他们获取敏感信息。默认配置也可能使网站遭到攻击。 -
应用程序的设计和行为有缺陷。
例如,如果某网站在发生不同的错误状态时返回不同的响应,攻击者可据此枚举敏感数据。
敏感信息虽然一直被评为危害比较低的漏洞,但是这些敏感信息往往在攻击实战中提供着很大的帮助,甚至能直接造成严重的损失,所以在开发时不仅要进行安全的代码编写,也需要注意对敏感信息的合理处理。
分类 #
操作系统 #
- 开启的端口、服务(namp)
- 操作系统的类型与版本(Wappalyzer)
中间件 #
- http返回头
- 404报错页面
- 使用工具(如whatweb)
Web程序 #
- CMS类型、版本、敏感信息
- 工具(whatweb、cms_identify、Wappalyzer)
- phpinfo()信息泄漏
http://[ip]/test.php http://[ip]/phpinfo.php
- 测试页面泄漏在外网
test.cgi phpinfo.php info.php等
- 编辑器备份文件泄漏在外网
http://[ip]/test.php.swp http://[ip]/test.php.bak http://[ip]/test.jsp.old http://[ip]/cgi~
- 版本管理工具(如git)文件信息泄漏
http://[ip]/.git/config http://[ip]/CVS/Entriesp http://[ip]/.svn/entriesp
- HTTP认证信息泄漏
http://[ip]/basic/index.php
- 管理后台地址泄漏
http://[ip]/login.php http://[ip]/admin.php http://[ip]/manager.php http://[ip]/admin_login.php
- 泄漏员工邮箱、分机号码
- 泄漏邮箱及分机号码可被社工,也可生成字典
- 错误页面暴漏信息
- Mysql错误
- php错误
- 框架错误
- 探针文件
- robots.txt
- phpMyAdmin
- 网站源码备份文件
- www.rar
- sitename.tar.gz
- web
- zip等
- Web控制台泄漏
Web控制台常常被用于网站后台或者Web容器控制台中,其不仅仅局限于容器或者网站管理后台,还包括一些数据库默认地址等。
常见的Web控制台:
Tomcat http://x.x.x.x/manager/html http://x.x.x.x:8080/manager/html 默认账号: admin/admin、admin/空密码 Axis2 http://x.x.x.x/axis2-admin/ 默认账号: admin/axis3 Weblogic http://x.x.x.x:7001/console http://x.x.x.x:port/console WebSphere http://x.x.x.x:9060/ibm/console https://x.x.x.x:9043/ibm/console/logon.jsp 默认账号:admin/admin Oracle http://x.x.x.x:5500/em Mongodb http://x.x.x.x:28017 HP system managent http://x.x.x.x:2381/cpqlogin.php?error=100&serverity=4 Service Registry http://x.x.x.x:port/soar port默认为6060 Jboss http://x.x.x.x/jmx-console/ http://x.x.x.x/web-console/ 默认无需登录,或admin/admin Apache http://x.x.x.x/server-status 普元 http://x.x.x.x/eosmgr 默认账号: sysadmin/000000
网络信息 #
- DNS域传送漏洞
- 运维监控系统弱口令
- 网络拓扑泄漏
- zabbix弱口令
- zabbix sql注入等
第三方软件应用 #
- github中源码、数据库、邮箱密码泄漏
- 搜索类似:smtp 163 password关键字
- GISL等工具
- 网盘中敏感数据泄漏
- 员工不小心将敏感文件上传至网盘
- QQ群敏感数据泄漏
- 员工不小心上传敏感文件至QQ群