技高一籌，還是人為疏失，由 gov.ph 窺探 vim 疏忽

Transcript

1. 技高一籌，還是人為疏失 由 gov.ph 窺探 vim 疏忽 <Lex@xsoin.com>

2. VIM 有不少人，都會偏好 vim 來進行開發寫程式的習慣 那你有沒有注意過在寫php時候所產生的備份檔 例如 http://xxx.com/xxx.php~ 這種檔案結尾的php一般都是vim 所自動產生出來的備份檔 你有沒有想過這樣的檔案有一天成為你網站的漏洞主要來源

   而且還是透漏所有source code.... 以下以 http://dns.gov.ph/ 網站為例

3. gov.ph

4. 前端 有寫過程式都是，後端的程式碼在前端不太會被讀取出來 甚是顯示在面上 一般在網頁上 點選右鍵 -> 查看原始碼 這種動作的情況所能看到的原始碼都是 html，js，css 這

   前端的source code 但如果有一天你寫的 php 在前端能被讀取出來時候，如果 是個開發者你作何感想?

5. 不能說的秘密 vim所產生的 備份檔就是如此 例如 http://dns.gov.ph/ajaxResponse/modReqs.php 打 開的頁面空白一片 既沒有錯誤訊息，也沒有404，這就表示這頁很有可能是一 支邏輯判斷的php 那在結尾嘗試加上

   "~" 修改後為 http://dns.gov.ph/ajaxResponse/modReqs. php~如此將會得到這支php的原始碼....

6. source code

7. 習慣成自然 寫程式都知道，主網站最重要的就是DB 資料庫的帳號密 所以在設定的帳號密碼那隻的php也格外重要，但很多都會 “偷懶“ 把檔名取為 connect.php connection.php.....等等等諸如此 的檔名 如此在進行猜測的時候也很容易進行猜測

8. 繼續挖掘 同上繼續用gov.ph為例 例如 http://dns.gov.ph/process/connection.php 這裡打開頁面也是空的，沒關係今天再嘗試在結尾中加上 "~“ 那麼將會得到 http://dns.gov.ph/process/connection.php~ 點擊打開後頁面將會得到DB所有的位置和帳號密碼

9. 帳密圖示

10. 結論 BTW.....你以為你用notpad++就不會有這樣問題嗎.....? 手法不是新一定最好，而是有用才是上上策

11. About me X = { µɛ }F³ • Lex Chien

    • this’s my website -- http://www.xsoin.com This’s my class This’s my function This’s my world style