Сегодня поговорим про утечки информации(
Information Disclosure).💡 Это тип уязвимости, при котором на странице отображается чувствительная информация. Это может быть:
➖ данные о других пользователях (имя, финансовая информация и т.д.),
➖ коммерческая информация,
➖ технические детали сайта или инфраструктуры.
Такая уязвимость не всегда приводит к прямому ущербу, но полученные с её помощью данные могут помочь в дальнейшем атакующему - например, для подбора векторов атак.
✍️ Где можно встретить
Information Disclosure:➖ в вспомогательных файлах (
/robots.txt, /sitemap.xml);➖ в случайно доступных внутренних файлах;
➖ в комментариях разработчиков;
➖ в сообщениях об ошибках;
➖ в отладочной информации;
➖ на страницах пользователей;
➖ в резервных копиях;
➖ в
.git-директориях.Один из способов выявить такие уязвимости - фаззинг. В прошлом посте я рассказывал об удобном инструменте для этого. Если ещё не смотрели - обязательно загляните. В райтапах я часто использую именно его.
✍️А потренироваться и пощупать
Information Disclosure можно вот тут:✏️Authentication bypass via information disclosure
✏️Information disclosure in error messages
✏️Information disclosure in version control history
✏️Information disclosure on debug page
✏️Source code disclosure via backup files
➥ ☕️ тг • 🤬чатик • ✍️посты
#web #writeup