002 首页信息泄露

> 当 Web 应用程序未能充分保护敏感信息时，就会发生信息泄露，从而导致敏感的用户信息或数据或与其相关的任何内容泄露给第三方。

这些类型的问题在大多数情况下无法被利用，但它们被认为是 Web 应用程序安全问题，因为它们允许攻击者收集相关信息，这些信息可以在以后用于进一步影响攻击。

# **不同类型的信息披露**

## **横幅抓取**

> 横幅抓取是一个收集信息的过程，例如操作系统、服务器详细信息、正在运行的服务名称及其版本号以及有关它的大量信息。

在大多数情况下，它不涉及泄露关键信息，而是可以帮助攻击者通过攻击的利用阶段的信息。例如，如果目标泄露了服务器上运行的 PHP 版本，并且由于未更新而被证明容易受到远程代码执行 (RCE) 的攻击，则攻击者可以利用已知漏洞并完全控制应用程序.网。

### **例子**

我们可以看到 Netsparker 识别出在目标主机上运行的旧版本 PHP。您还可以使用 Netsparker 中的 HTTP 请求/响应选项卡以原始格式查看来自目标服务的 HTTP 响应，这也突出显示了旧版本的 PHP。

![](/media/202204/2022-04-24_213801_756901.png)

## **源代码披露**

> 当 Web 应用程序的后端环境中的代码向公众公开时，就会发生这种情况。如果源代码文件被泄露，攻击者可以使用该信息来发现逻辑缺陷。

### **例子**

Web 浏览器知道如何解析从 Web 服务器在 HTTP 响应中发送的 HTTP Content-Type 标头接收到的信息。例如，在下面的屏幕截图中，我们可以看到 Content-Type 标头设置为 text/html，因此浏览器会解析 HTML 并显示输出。

![](/media/202204/2022-04-24_213820_503463.png)

尽管如果 Web 服务器配置错误，例如，在提供 HTML 页面时发送标头 Content-Type: text/plain 而不是 Content-Type: text/html，代码将在浏览器中显示为纯文本，允许攻击者查看页面源代码。

## **文件名和文件路径公开**

> 这可能是由于对用户输入的错误处理、后端异常或不正确的 Web 服务器配置而发生的。有时可以在 Web 应用程序响应、错误页面、调试信息等中找到或识别此类信息。

### **例子**

攻击者可以执行一个简单的测试来检查 Web 应用程序是否显示任何文件名或路径，即发送许多他认为目标可能以不同方式处理的不同请求。例如，当发送下面的请求时，Web 应用程序返回 403（禁止）响应：

```
  https://www.example.com/%5C../%5C../%5C../%5C../%5C../%5C../etc/passwd
```

但是当攻击者发送以下序列时，他会得到一个 404（未找到）响应：

```
  https://www.example.com/%5C../%5C../%5C../%5C../%5C../%5C../etc/doesntexist
```

由于攻击者在第一次请求时收到 403 错误，而第二次收到 404 错误，因此他知道在第一种情况下存在问题的文件。因此，攻击者可以利用 Web 应用程序的行为作为利用来了解服务器的结构并检查系统上是否存在某个文件夹或文件。

## **敏感数据处理不当**

> 当敏感数据未从源代码或其他地方删除时，可能会发生这种情况。那里可能存在一些数据，如用户名、密码或一些重要的评论，这可能会泄露一些敏感数据。

# **NTLM**

> 默认情况下，在 Windows 域环境下，身份验证使用 Kerberos 协议对用户进行身份验证和授权。如果由于某种原因无法使用 Kerberos 协议，则使用 NT LAN Manager (NTLM) 作为后备。`AllowNtlm`我们可以通过将属性设置为来禁用此行为`false`。

允许 NTLM 时需要注意的问题如下：

- 公开客户的用户名。如果需要对用户名保密，我们必须将`AllowNTLM`链接属性设置为`false`.
- 不提供服务器身份验证。因此，客户端在用作身份验证协议时无法确保它正在与正确的服务进行通信。

## **指定无效的身份或客户端凭据会强制使用 NTLM**

创建客户端、指定其凭据而不指定域名或指定无效的服务器身份会导致使用 NTLM 而不是 Kerberos 协议（如果该属性`AllowNtlm`设置为`true`）。

由于 NTLM 不执行服务器身份验证，因此可能会泄露信息。

例如，可以指定不带域名的 Windows 客户端凭据，如以下 Visual C# 代码所示。

```
MyChannelFactory.Credentials.Windows.ClientCredential = new System.Net NetworkCredential("username", "password");
```

该代码未指定域名，因此将使用 NTLM。

如果指定了域，但还通过端点身份功能指定了无效的服务主体名称，则将使用 NTLM。

# **如何防止信息泄露攻击**

> 信息泄露安全问题看似微不足道，但事实并非如此。它们允许黑客通过执行基本测试，有时只需在公共页面上搜索信息，即可获取有关他们想要攻击的目标的详细和敏感信息。

为了确保 Web 应用程序得到很好的保护，免受最明显的信息泄露问题的影响，需要采取以下步骤：

- 确保您的 Web 服务器不发送响应标头或背景信息，这些信息会揭示有关后端技术的类型、版本或配置的技术细节。
- 敏感数据、文件和任何其他不需要在 Web 服务器上的信息永远不应上传到它们。
- 不要加密凭证、API 密钥、IP 地址或代码中的任何其他敏感信息，包括名字和姓氏，即使是形式。
- 始终检查创建/编辑/查看/删除资源的每个请求是否具有足够的访问控制，避免特权升级问题并确保所有敏感信息都保持其名称所示。
- 始终确保适当的授权和访问控制到位，以防止攻击者访问所有服务器、服务和 Web 应用程序。
- 将 Web 服务器配置为禁止`directory listing`并确保 Web 应用程序始终显示默认网页。
- 尽可能使用通用错误消息。不要不必要地向攻击者提供有关应用程序行为的线索。
- 确保在服务器开放端口上运行的所有服务不会泄露有关其构建和版本的信息。
- 在 Web 服务器上为 Web 应用程序中使用的所有不同文件设置正确的 MIME 类型。