文件泄露, 根据泄漏的信息敏感程度, 在WEB漏洞中可以算是中危甚至高危的漏洞, 本篇文章就来 介绍下一些常见的泄漏, 主要分为由版本管理软件导致的泄露, 文件包含导致的泄露和配置错误导致的泄露....WEB-INF泄露
在Java的Servlet 文档中, 说到WEB-INF目录"包含了所有web应用会用到但是不处于web路径中的资源”, 也就是说, WEB-INF目录下的内容是不属于公开页面的....web应用可以通过getResource等API在servlet的上下文中访问到这些资源....修复建议
发布前确认WEB-INF目录是禁止访问的, 或者在server设置好对于的过滤规则....例如Nginx在代理静态文件时, 如果不小心在配置文件中写错了一个字符:
location /static {
alias /home/web/static/;
}
就会导致访问http://example.com