web信息泄露相关内容

web信息泄露相关内容

基本操作

0,打开相关网站查看信息
1,右键查看网页源代码观察信息
2,F12打开开发者工具观察信息，查看有无js前台拦截
4,尝试bp抓包，看看请求和响应报文
6,扫描网站，dirmap，dirsearch，御剑都是不错的选择

相关注释未删除

网站作者在开发时一些敏感的注释未删除，容易导致用户名，密码等相关信息泄露

源码泄露

网站源代码出现泄露
1,phps源码泄露

https://xxxxxx/index.phps/

2,Git源码泄露

https://xxxxxx/.git/

3,svn源码泄露

https://xxxxxx/.svn/

4,hg源码泄漏

https://xxxxxx/.hg/

5,bzr泄露

https://xxxxxx/.bzr/

文件泄露

1,swp文件泄露

https://xxxxxx/.swp/
https://xxxxxx/index.php.swp/

2,DS_Store文件泄露

https://xxxxxx/.DS_Store/

3,zip源码泄露

https://xxxxxx/www.zip/

其他泄露

1,robots.txt中隐藏信息

https://xxxxxx/robots.txt/

2,cookie中含有信息
利用bp抓包或者F12在network中看cookie相关信息

3，通过dns检查
访问 https://zijian.aliyun.com/ ，查看网站相关信息

4,bak备份泄露

https://xxxxxx/index.php.bak/

5,备份sql文件泄露

https://xxxxxx/backup.sql/

其他操作

社会工程，简单密码爆破，密码猜解，谷歌搜索等等

Dirmap使用

cd到dirmap所在文件夹下使用cmd命令行

python dirmap.py -i https://xxxxxx/ -lcf

最后

其实只要善于发现，总能找到漏洞，而且漏洞无处不在！