Penulisan: Pengungkapan kode sumber melalui file cadangan @ PortSwigger Academy

Penulisan untuk lab Pengungkapan kode sumber melalui file cadangan ini adalah bagian dari seri panduan saya untuk Akademi Keamanan Web PortSwigger .
Jalur pembelajaran : Topik sisi server → Pengungkapan informasi
Skrip python: script.py
Deskripsi laboratorium

Langkah
Saat menganalisis halaman web, salah satu langkah pertama adalah selalu memeriksa keberadaan robots.txt
file.
Ini adalah file yang meminta perayap mesin telusur untuk menyertakan atau mengecualikan bagian tertentu dari situs dari indeksnya. Terkadang, lokasi menarik terungkap seperti itu.
Terserah crawler apakah mereka mematuhi keinginan ini atau mengabaikannya. Karena file tersebut adalah teks biasa, hal yang sama berlaku untuk setiap manusia yang membacanya.

Dalam hal ini, ini menunjuk langsung ke subdirektori /backup
(cara lain untuk menemukannya adalah alat seperti Burp Content Discovery, gobuster, wfuzz, ...)
Memeriksa direktori menunjukkan file cadangan untuk beberapa kode Java:

Dalam kode, kredensial untuk koneksi database dapat ditemukan:

Setelah mengirimkan waktu solusi, lab memperbarui ke

Awalnya diterbitkan di https://github.com .
New to Medium? Become a Medium member to access all stories on the platform and support me at no extra cost for you!