信息收集-资产泄露

Web源码泄露的漏洞：

以下漏洞都是在获取不到源码的情况下使用的

网站备份压缩文件泄露：

因为网站管理员不好的备份习惯导致源码泄露

管理员网址www.Xiaoheizi.fun 网站代码文件夹路径：C:wwwwww.Xiaoheizi.fun如果在C:wwwwww.Xiaoheizi.fun下备份网站源码当前目录下就会生成一个备份文件，我们就可以访问www.Xiaoheizi.fun下的备份文件就会导致源码泄露。

如果在网站目录上一级目录里备份则会在www.Xiaoheizi.fun上一级生成备份文件，从而无法访问到，相对安全一些

网站源代码备份在Web目录下

访问备份文件成功下载

SVN 源码泄露

SVN是一个开放源代码的版本控制系统。在使用SVN管理本地代码过程中，会自动生成一个名为.svn的隐藏文件夹，其中包含重要的源代码信息。网站管理员在发布代码时，没有使用‘导出’功能，而是直接复制代码文件夹到WEB服务器上，这就使.svn隐藏文件夹被暴露于外网环境，可以利用.svn/entries文件，获取到服务器源码

使用dirsearch文件扫描工具扫描网站http://trafficbonus.com/得到网站下有一个.svn文件夹，网站可能存在svn源码泄露。

访问http://trafficbonus.com/.svn/entries成功，确认存在svn源码泄露

使用工具利用漏洞

SvnHack

一个Svn信息泄露辅助工具，可以使用这个脚本列取网站目录，读取源码文件以及下载整站代码

成功利用漏洞

PHP特性-composer.json泄漏

在网站url后面加上/composer.json看是否存在。

composer.json文件内记录了网站的程序源码名称和开发语言，中间件等网站配置信息

网络安全技术交流群：群满或过期可回复“进群”获取最新二维码

QQQQ群：708769345

原文始发于微信公众号（小黑子安全）：信息收集-资产泄露