Cet article pour le laboratoire Divulgation du code source via des fichiers de sauvegarde fait partie de ma série de procédures pas à pas pour la Web Security Academy de PortSwigger .

Parcours d'apprentissage : Sujets côté serveur → Divulgation d'informations

Script Python : script.py

Description du laboratoire

Pas

Lors de l'analyse d'une page Web, l'une des premières étapes consiste toujours à vérifier l'existence d'un robots.txtfichier.

Il s'agit d'un fichier qui demande aux robots des moteurs de recherche d'inclure ou d'exclure certaines parties du site de leur index. Parfois, des endroits intéressants sont révélés de cette façon.

Il appartient au crawler d'obéir à ces souhaits ou de les ignorer. Comme le fichier est en texte brut, il en va de même pour tout humain qui le lit.

Dans ce cas, il pointe directement vers le sous-répertoire /backup(d'autres moyens pour le découvrir seraient des outils comme Burp Content Discovery, gobuster, wfuzz, ...)

La vérification du répertoire affiche un fichier de sauvegarde pour du code Java :

Dans le code, les informations d'identification pour les connexions à la base de données peuvent être trouvées :

Après avoir soumis l'heure de la solution, le laboratoire se met à jour pour

Publié à l'origine sur https://github.com .

New to Medium? Become a Medium member to access all stories on the platform and support me at no extra cost for you!

D'après Infosec Writeups : Il se passe beaucoup de choses chaque jour dans l'Infosec qu'il est difficile de suivre. Rejoignez notre newsletter hebdomadaire pour obtenir toutes les dernières tendances Infosec sous la forme de 5 articles, 4 fils de discussion, 3 vidéos, 2 dépôts et outils GitHub et 1 alerte d'emploi GRATUITEMENT !