本文探讨了配置信息泄漏的漏洞原理及其危害，攻击者可能利用泄露的配置控制数据库或网站。测试方法包括使用爬虫和扫描工具寻找配置文件路径，以及检查网页源代码。为防止配置文件泄露，建议对配置文件目录实施访问控制，并参照中间件加固指南进行保护。
配置信息泄漏
漏洞原理及危害
应用系统由于配置不当，没有考虑相关的安全隐患，造成相关的配置文件泄露，泄露相关的配置。
攻击者通过配置信息泄露获取敏感数据，为进一步攻击创造条件，设置通过泄露的配置直接控制数据库或网站。
测试方法
1. 通过工具爬虫或扫描得到配置文件的路径，从而找到配置数据。
如tomcat的配置文件泄漏问题，使用目录扫描工具如Dirsearch等工具对目标网站进行扫描。
发现系统的配置文件信息泄漏。
2. 对网页源代码的查看，找到相关的配置信息或是配置文件路径。
在目标主页中点击右键，查看网页源代码，搜索config字段或在源码中逐行查找，分析是否存在系统的配置信息或配置文件路径信息。
修复建议
1、对配置文件目录做好访问控制。列举两个常用中间件的例子，具体参考相关中间件的加固版本。
|
tomcat限制目标权限 |
|
参考配置操作 (1) 编辑tomcat/conf/web.xml配置文件， <init-param> <param-name>listings</param-name> <param-value>true</param-value> </init-param> 把true改成false (2)重新启动tomcat服务 |
|
Apache禁止相关目录访问 |
|
参考配置操作 编辑httpd.conf配置文件， <Directory /> Order Deny,Allow Deny from all </Directory> 2、补充操作说明 设置可访问目录， <Directory /web> Order Allow,Deny Allow from all </Directory> 其中/web为网站根目录。 |
扫一扫
3054
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
