搜索

[13482] 2018-12-01_技术讨论看我如何下载印度最大电信服务商的源代码

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2018-12-01_技术讨论看我如何下载印度最大电信服务商的源代码 技 术 讨 论   |   看 我 如 何 下 载 印 度 最 大 电 信 服 务 商 的 源 代 码 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 2 - 0 1 声 明 ： 本 文 仅 限 于 技 术 讨 论 ， 严 禁 用 于 其 他 用 途 。 声 明 ： 本 文 仅 限 于 技 术 讨 论 ， 严 禁 用 于 其 他 用 途 。 近 期 ， 近 期 ， S n a p c h a t 曾 发 生 过 一 次 源 代 码 泄 漏 事 件 ， 在 此 次 事 件 中 攻 击 者 从 曾 发 生 过 一 次 源 代 码 泄 漏 事 件 ， 在 此 次 事 件 中 攻 击 者 从 S n a p c h a t 网 站 上 下 载 了 完 整 的 网 站 源 网 站 上 下 载 了 完 整 的 网 站 源 码 ， 并 将 其 上 传 到 了 码 ， 并 将 其 上 传 到 了 G i t H u b 上 。 在 过 去 的 几 年 里 ， 很 多 网 站 都 存 在 错 误 配 置 的 问 题 ， 而 且 这 些 安 全 问 题 都 会 被 上 。 在 过 去 的 几 年 里 ， 很 多 网 站 都 存 在 错 误 配 置 的 问 题 ， 而 且 这 些 安 全 问 题 都 会 被 攻 击 者 所 利 用 。 除 此 之 外 ， 由 于 攻 击 者 所 利 用 。 除 此 之 外 ， 由 于 W e b 开 发 的 门 槛 相 对 来 说 比 较 低 ， 所 以 很 多 经 验 不 够 丰 富 的 开 发 人 员 很 可 能 在 开 发 的 门 槛 相 对 来 说 比 较 低 ， 所 以 很 多 经 验 不 够 丰 富 的 开 发 人 员 很 可 能 在 W e b 开 发 的 过 程 中 泄 漏 一 些 机 密 数 据 ， 比 如 说 开 发 的 过 程 中 泄 漏 一 些 机 密 数 据 ， 比 如 说 G i t 代 码 库 的 密 钥 组 件 ， 这 个 密 钥 一 旦 泄 露 ， 也 就 意 味 着 任 何 人 都 代 码 库 的 密 钥 组 件 ， 这 个 密 钥 一 旦 泄 露 ， 也 就 意 味 着 任 何 人 都 可 以 直 接 访 问 代 码 库 中 的 敏 感 源 代 码 、 访 问 密 钥 以 及 密 码 等 等 。 可 以 直 接 访 问 代 码 库 中 的 敏 感 源 代 码 、 访 问 密 钥 以 及 密 码 等 等 。 所 以 最 近 一 段 时 间 ， 我 一 直 都 在 研 究 G i t 错 误 配 置 方 面 的 问 题 ， 那 么 在 这 篇 文 章 中 ， 我 将 告 诉 大 家 我 如 何 访 问 并 下 载 的 印 度 最 大 电 信 服 务 商 的 源 代 码 。 G i t 是 什 么 ？ 是 什 么 ？ G i t 是 一 种 版 本 控 制 系 统 （ V C S ） ， 它 可 以 帮 助 开 发 人 员 跟 踪 计 算 机 文 件 的 修 改 情 况 ， 并 与 网 络 上 的 其 他 伙 伴 协 同 工 作 。 目 前 ， G i t 主 要 用 于 软 件 开 发 过 程 中 的 源 代 码 管 理 ， 但 是 它 还 可 以 用 来 跟 踪 其 他 文 件 的 修 改 情 况 。 在 G i t 的 帮 助 下 ， 开 发 人 员 可 以 管 理 源 代 码 的 版 本 ， 并 通 过 f o r k 和 b r a n c h 的 形 式 来 跟 踪 代 码 的 修 改 。 如 果 一 个 应 用 程 序 绑 定 了 一 个 错 误 配 置 的 G i t 目 录 ， 并 且 公 开 可 访 问 （ 暴 露 在 外 ） 的 话 ， 那 么 这 个 目 录 应 该 是 下 面 这 样 的 ：
为 了 直 接 从 目 录 中 递 归 下 载 每 一 个 文 件 ， 我 们 这 里 需 要 用 到 w g e t ， 即 ： 运 行 之 后 ， 也 就 是 当 你 下 载 了 完 整 的 . g i t 目 录 之 后 ， 你 还 需 要 利 用 g i t 命 令 来 获 取 g i t 对 象 ， 这 一 步 大 家 可 以 点 击 阅 读 原 文 查 看 参 考 手 册 。 技 术 细 节 技 术 细 节 在 开 始 之 前 ， 如 果 各 位 不 熟 悉 g i t 以 及 g i t 命 令 的 话 ， 我 建 议 大 家 先 阅 读 一 下 上 面 的 参 考 资 料 。 接 下 来 ， 我 们 一 起 看 一 看 如 何 去 实 现 这 种 源 代 码 下 载 攻 击 。 子 域 名 的 重 要 性 其 实 和 主 域 名 的 是 一 样 的 ， 这 也 就 是 为 什 么 很 多 网 络 侦 查 活 动 中 需 要 进 行 子 域 名 枚 举 的 原 因 之 一 。 因 为 一 般 来 说 ， g i t 错 误 配 置 不 会 只 发 生 在 主 域 名 身 上 ， 旗 下 的 子 域 名 同 样 也 会 存 在 这 样 的 问 题 。 所 以 ， 为 了 找 出 所 有 存 在 g i t 错 误 配 置 的 域 名 、 子 域 名 或 公 司 组 织 ， 我 需 要 结 合 子 域 名 枚 举 技 术 和 . g i t 目 录 下 载 技 术 才 能 实 现 。 这 里 我 给 大 家 推 荐 一 款 优 秀 的 开 源 子 域 名 枚 举 工 具 - S u b l i s t 3 r ， 这 款 工 具 可 以 利 用 不 同 的 源 来 枚 举 主 域 名 下 的 子 域 名 ， 并 给 用 户 提 供 子 域 名 列 表 。 除 此 之 外 ， 还 有 一 款 名 叫 G i t - d u m p e r 的 工 具 ， 这 款 工 具 可 以 检 查 并 下 载 公 开 可 访 问 的 G i t 目 录 。 接 下 来 ， 我 通 过 脚 本 把 这 两 个 工 具 绑 定 在 了 一 起 ， 然 后 开 发 出 了 g i t - d o m i a n . p y ， 它 可 以 帮 我 做 以 下 三 件 事 情 ： 1 、   g i t - d o m a i n . p y 需 要 一 份 文 件 作 为 输 入 参 数 ， 这 个 文 件 要 包 含 所 有 的 主 域 名 （ 列 表 ， 按 行 分 隔 ） 。 2 、   它 会 遍 历 每 一 行 域 名 ， 然 后 找 出 对 应 的 子 域 名 ， 并 检 测 相 应 的 . g i t 目 录 是 否 暴 露 在 外 。 3 、   如 果 公 开 可 访 问 ， 那 么 它 会 递 归 下 载 特 定 子 域 名 对 应 的 完 整 g i t 目 录 ， 然 后 将 其 存 在 本 地 主 机 中 。 这 就 是 我 要 做 的 事 情 ： 收 集 设 立 了 漏 洞 奖 励 计 划 或 漏 洞 披 露 政 策 的 公 司 名 单 ， 然 后 收 集 相 应 公 司 的 域 名 列 表 ， 然 后 把 w g e t   – r   h t t p s : / / w w w . e x a m p l e . c o m / . g i t
它 们 传 入 到 g i t - d o m a i n . p y 中 ： 没 错 ， 这 份 主 域 名 列 表 中 也 包 含 印 度 最 大 电 信 服 务 商 的 域 名 ， 而 且 我 也 成 功 地 下 载 到 了 完 整 的 官 网 源 码 。 值 得 一 提 的 是 ， 他 们 的 子 域 名 也 存 在 类 似 的 错 误 配 置 。 缓 解 方 案 缓 解 方 案 W e b 服 务 器 管 理 员 或 开 发 者 们 需 要 确 保 . g i t 目 录 没 有 被 索 引 ， 并 且 所 有 的 目 录 、 子 目 录 和 全 部 文 件 都 无 法 使 用 服 务 器 权 限 规 则 来 直 接 访 问 。 除 此 之 外 ， 建 议 各 位 使 用 . g i t i g n o r e 文 件 来 确 保 敏 感 文 件 能 够 被 隐 藏 。 缓 解 这 种 攻 击 的 最 简 单 的 办 法 就 是 禁 止 访 问 . g i t 目 录 ： 大 家 还 等 什 么 ？ 赶 紧 看 看 自 家 屋 顶 有 没 有 漏 雨 吧 ！ < D i r e c t o r y M a t c h “ ^ / . * / . g i t / ” > R e q u i r e a l l   d e n i e d < / D i r e c t o r y M a t c h >
* 参 考 来 源 ： m e d i u m ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理