未經(jīng)授權(quán)請(qǐng)勿利用文章中的技術(shù) 資料對(duì)任何計(jì)算機(jī)系統(tǒng)進(jìn)行入侵操作。利用此文所提供的信息而造成的直接或間接后果 和損失,均由使用者本人負(fù)責(zé)。
無意中使用x-ray被動(dòng)掃描,掃描出了一個(gè)git文件信息泄露。
漏洞原理
通過手動(dòng)驗(yàn)證確實(shí)可以下載到.git配置文件(.git文件夾是來自于git開源的分布式版本控制系統(tǒng)),由于把.git文件夾直接部署到線上環(huán)境,導(dǎo)致.git文件夾泄露,導(dǎo)致源碼泄露,包括含有數(shù)據(jù)庫配置文件的源代碼,進(jìn)而實(shí)現(xiàn)利用。
利用方法
GitHack 是一個(gè).git 泄露利用腳本,通過泄露的.git 文件夾下的文件,重建還原工程源代碼。滲透測(cè)試人員、攻擊者,可以進(jìn)一步審計(jì)代碼,githack是最常用的工具,它是通過.git/index,找到第一個(gè)hash值。
下載地址:https://github.com/lijiejie/GitHack
python githack.py http://xx.xxx.xx/.git
將泄露文件下載到本地,查看是否有敏感信息文件,發(fā)現(xiàn)存在database數(shù)據(jù)庫連接源代碼,存在登錄信息。
?漏洞修復(fù)建議
.git文件夾不直接部署到線上環(huán)境。
?文章來源地址http://www.zghlxwxcb.cn/news/detail-555132.html文章來源:http://www.zghlxwxcb.cn/news/detail-555132.html
?
到了這里,關(guān)于.git文件夾信息泄露漏洞利用的文章就介紹完了。如果您還想了解更多內(nèi)容,請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章,希望大家以后多多支持TOY模板網(wǎng)!