技高一籌，還是人為疏失，由 gov.ph 窺探 vim 疏忽

技高一籌，還是人為疏失由 gov.ph 窺探 vim 疏忽 <[email protected]>

VIM 有不少人，都會偏好 vim 來進行開發寫程式的習慣那你有沒有注意過在寫php時候所產生的備份檔例如 http://xxx.com/xxx.php~ 這種檔案結尾的php一般都是vim 所自動產生出來的備份檔你有沒有想過這樣的檔案有一天成為你網站的漏洞主要來源
而且還是透漏所有source code.... 以下以 http://dns.gov.ph/ 網站為例

gov.ph

前端有寫過程式都是，後端的程式碼在前端不太會被讀取出來甚是顯示在面上一般在網頁上點選右鍵 -> 查看原始碼這種動作的情況所能看到的原始碼都是 html，js，css 這
前端的source code 但如果有一天你寫的 php 在前端能被讀取出來時候，如果是個開發者你作何感想?

不能說的秘密 vim所產生的備份檔就是如此例如 http://dns.gov.ph/ajaxResponse/modReqs.php 打開的頁面空白一片既沒有錯誤訊息，也沒有404，這就表示這頁很有可能是一支邏輯判斷的php 那在結尾嘗試加上
"~" 修改後為 http://dns.gov.ph/ajaxResponse/modReqs. php~如此將會得到這支php的原始碼....

source code

習慣成自然寫程式都知道，主網站最重要的就是DB 資料庫的帳號密所以在設定的帳號密碼那隻的php也格外重要，但很多都會 “偷懶“ 把檔名取為 connect.php connection.php.....等等等諸如此的檔名如此在進行猜測的時候也很容易進行猜測

繼續挖掘同上繼續用gov.ph為例例如 http://dns.gov.ph/process/connection.php 這裡打開頁面也是空的，沒關係今天再嘗試在結尾中加上 "~“ 那麼將會得到 http://dns.gov.ph/process/connection.php~ 點擊打開後頁面將會得到DB所有的位置和帳號密碼

帳密圖示

結論 BTW.....你以為你用notpad++就不會有這樣問題嗎.....? 手法不是新一定最好，而是有用才是上上策

About me X = { µɛ }F³ • Lex Chien
• this’s my website -- http://www.xsoin.com This’s my class This’s my function This’s my world style

技高一籌，還是人為疏失，由 gov.ph 窺探 vim 疏忽

技高一籌，還是人為疏失，由 gov.ph 窺探 vim 疏忽

Lex Chien

More Decks by Lex Chien

Other Decks in Technology

Featured

Transcript