程序员经验分享-hwhale

网安入门须知：注释的危害居然这么大？——注释漏洞导致的信息泄露

2023-10-27

隔壁大娘收到了一条匿名短信，里面记录了大娘跟隔壁老王的开房记录，并勒索二百五十块巨款。大娘略加思索后，便提着刀冲到狗剩家门口，一刀砍在门口的卷帘门上
隔壁大娘：狗剩，你给我出来！！！

在这里插入图片描述

一、什么是信息泄露漏洞？

信息泄露是指【网站无意间向用户泄露敏感信息】，一些安全意识淡薄的管理员或技术人员无法区分普通信息和敏感信息，从而将敏感信息当做普通数据展示在前端源码中或者明文传输。

二、信息泄露有什么危害？

【千里之堤，毁于蚁穴】，敏感信息泄露虽然被评为危害较低的漏洞，但有些时候，就是这些敏感信息往往会给攻击者攻击提供很大的帮助，一个微小的漏洞，经过攻击者的巧妙利用，也有可能对企业和用户造成巨大的危害

在这里插入图片描述

三、注释是怎么导致信息泄露的？

【注释虽然不会被当做代码执行，但可以在前端的源码中被展示出来】。攻击者可以根据源码中的注释内容进行针对性的攻击。注释的设计本是为了方便开发人员，提高研发的效率，开发人员会在前端页面中写开发过程中的注释，由于安全意识淡薄，在项目上线前并不会将注释删除。这些注释可能会包含但不限于以下敏感信息：

  1. 敏感目录或文件地址，比如后台登录地址
  2. 内网接口信息
  3. 网站的基础架构/技术细节
  4. 用户相关数据，比如测试用的账号密码

1、HTML注释

HTML常用的注释格式是 <!-- 注释内容 -->，很多语言都会支持这种注释，开发人员可能会在注释内容中透漏一些敏感信息，比如下面的这张图片，泄露了测试用的账号和密码

在这里插入图片描述

2、JSP注释

并不是只有HTML的页面才会导致信息泄露，JSP页面同样存在这样的问题，这主要是因为JSP页面中支持使用HTML的注释。JSP常用的注释有两种：

  1. <%-- 注释内容 --%>
    这种注释方式不会在前端源码中展示
  2. <!-- 注释内容 -->
    这种HTML的注释会在前端源码中展示，并且很多开发人员习惯用这种HTML注释，而不是使用上面的JSP注释。如果一定要写注释的话，推荐使用上面的JSP注释。

3、JS代码

JavaScript 同HTML和CSS一样，都会在前端源码中展示，这也是其导致信息泄露的原因之一。JavaScript的代码中通常会包含一些【敏感目录或API接口】，比如下面这个JS代码就暴露了目录 /admin

在这里插入图片描述

四、利用方式

  1. 【手动分析】右键查看网页源代码，审计敏感信息并利用（或者Ctrl+f搜索关键字）
  2. 【工具分析】爬虫工具爬取网页注释内容，审计敏感信息并利用

五、如何防护

针对注释导致的信息泄露，最有效的方法就是在项目打包上线之前【删除可能的敏感注释】

总结

虽然网络安全的圈子不乏各种灰产，以及高调宣传自己是黑客的脚本小子，但不可否认，这个圈子仍有不少人保持着【举世皆浊我独清，众人皆醉我独醒】的心态，努力磨砺技术，提升自身修养，让互联网变得更加安全。

在这里插入图片描述

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

web渗透

1024程序员节

python

Java

网络安全

网安入门须知：注释的危害居然这么大？——注释漏洞导致的信息泄露 的相关文章

随机推荐

  • 网页打开时都发生了什么？我被吓着了

    内容参考自网页打开时都发生了什么 我被吓着了 在浏览器里输入网址或者点击链接 网页打开了 这是我们上网时再普通不过的一幕 但是如此简单的表象背后 却隐藏着无比复杂的技术流程 想涨涨知识吗 往下看吧 一个HTTP请求的过程 为了简化我们先从一

  • 图片博客

    在这里插入图片描述

  • Shell输入输出重定向

    一 文件描述符 英文是file descriptor简称fd 文件描述符是一个非负整数 它是一个索引值 指向进程打开的文件 Linux程序在执行任何形式的 I O 操作时 都是在读取或者写入一个文件描述符 每个文件描述符会与一个打开的文件相

  • 前方交会与后方交会

    1 前方交会 1 1 前方交会的概念 利用立体像对两张像片的内方位元素 同名像点坐标和像对的相对方位元素 或外方位元素 解算模型点坐标 或地面点坐标 的工作 称为空间前方交会 在摄影测量中主要有两种 1 利用立体像对两张像片的相对方位元素

  • 命令行mvn打包的时候报错：No compiler is provided in this environment. Perhaps you are running on a JRE

    一 前言 这部分是安装Elasticsearch ik中文分词的时候 用mvn打包报错 No compiler is provided in this environment Perhaps you are running on a JRE

  • VC的路径

    1 注意 include Common MyTD h 这里面的目录表示方式与 CFile saveFile saveFile Open T abc bmp CFile modeCreate CFile modeNoTruncate CFil

  • 前端 JQuery

    jquery 理解 function 这是为了防止文档在完全加载 就绪 之前运行 jQuery 代码 换句话说 写在这里面的JQuery代码都是文档加载好之后的 就不会有获取一个还没有加载好的图片这种问题了 另一种写法 document r

  • 香港服务器微信js接口无法,微信jssdk分享接口不能正常使用

    调用的分享接口完全一样 只是在不同网页调用 但是有的可以有的不可以分享 不知道怎么回事 调用的代码如下 appId 认证的appid appsecret 认证的appsecret timestamp time jsapi ticket ma

  • 头文件

    头文件

  • flutter text 左对齐_Flutter 基础布局Widgets之Stack详解

    概述 Stack 组件是一种层叠式布局 即组件覆盖另一个组件 覆盖的顺序取决于在children中放置的顺序 使用场景比如在图片上加上一些文字描述 即将文本Widget覆盖在图片组件 详见下面的小例 构造函数 Stack Key key t

  • C# 连接Sql Server 数据库

    class DataBaseUtil static string dataSource server 数据库地址 database 数据库表名 uid 用户 pwd 密码 数据库连接字符串 public static SqlConnecti

  • 区块链 （数据结构）

    区块链是分布式数据存储 点对点传输 共识机制 加密算法等计算机技术的新型应用模式 区块链 Blockchain 是比特币的一个重要概念 它本质上是一个去中心化的数据库 同时作为比特币的底层技术 是一串使用密码学方法相关联产生的数据块 每一个

  • Anconda基本操作指令

    1 查看anconda版本基本信息 查看版本 conda v 默认进入base环境 conda config set auto activate base true 默认退出base环境 conda config set auto acti

  • 【基础知识】BSS段，数据段，代码段，堆栈段

    在了解BSS段他们之前 我们先来看一下他们在内存中的位置 BSS段 bss segmen BSS 是 Block Started by Symbol 的简称 通常是指用来存放程序中未初始化的全局变量的内存区域 属于静态内存分配 在可执行文件

  • swiper的使用,一次显示多个,竖着排列，多行多列

  • C++中cin、cin.get()、cin.getline()、getline()、gets()等函数的用法

    学C 的时候 这几个输入函数弄的有点迷糊 这里做个小结 为了自己复习 也希望对后来者能有所帮助 如果有差错的地方还请各位多多指教 本文所有程序均通过VC 6 0运行 1 cin 2 cin get 3 cin getline 4 getli

  • 数据库连接池概念、原理、运行机制浅谈

    概述 数据库连接池是负责分配 管理和释放数据库连接 它允许应用程序重复使用一个现有的数据库连接 而不是再重新建立一个 那么其中的运行机制又是怎样的呢 今天主要介绍一下数据库连接池原理和常用的连接池 01 为什么要使用连接池 数据库连接是一种

  • NoPadding填充方式不会对明文块进行填充，就会出现“Input length not multiple of 8 bytes“

    DES ECB PKCS5Padding和DES ECB NoPadding的区别 DES是一种对称加密算法 它可以使用不同的模式和填充方式进行加密 在Java Cipher API中 提供了四种DES加密模式 ECB CBC CFB和OF

  • 微信小程序实现类3D轮播图

    在写微信小程序时 有写到实现3D轮播图的效果 可以直接使用微信小程序中自带的组件swiper来实现 效果图如下 1 swiper的相关属性 indicator dots 是否显示小圆点 也可以自己重新设置小圆点 circular 是否衔接滑

  • 网安入门须知：注释的危害居然这么大？——注释漏洞导致的信息泄露

    隔壁大娘收到了一条匿名短信 里面记录了大娘跟隔壁老王的开房记录 并勒索二百五十块巨款 大娘略加思索后 便提着刀冲到狗剩家门口 一刀砍在门口的卷帘门上 隔壁大娘 狗剩 你给我出来 注释导致的信息泄露 一 什么是信息泄露漏洞 二 信息泄露有什么

热门标签