背景

这个系列写 Web 应用渗透测试相关的内容。此篇从信息收集开始，看一下 Web 应用端有哪些方面的信息值得渗透测试者去收集，能对后续的行动产生积极的影响。

Web 应用渗透测试 - 信息收集

security.txt

这个文件包含了网站的漏洞披露的联系方式。如果测试人员发现了漏洞，就可以通过查询这个文件，找到相应的联系人，提升应用的漏洞发现和修补流程效率。详细内容可以在securitytxt.org查询。这个网站也可以生成自定义的 security.txt 文件。

security.txt 的关键点在于，网站的维护人员应提供公司的或者个人的加密信息（PGP key），并用这个 Key 对该文件做电子签注。那么，渗透测试人员在汇报漏洞的时候，就能确定这个文件不是黑客恶意写入的。

操作

根据以上内容，就可以在有 .well-known 文件夹写权限，并且 security.txt 没有 PGP 保护的情况下，植入恶意 security.txt 文件，将联系方向指向自己，来试图获取该 Web 应用的漏洞信息。

robots.txt 是一个任何人都可以访问（如果存在的话）的用来允许/阻止 Google 等搜索引擎或爬虫爬取网站特定网页内容的文件。该文件不该被用来隐藏敏感信息。如某些网站维护人员想禁止搜索引擎或者爬虫访问 /admin 这样的管理员端口，而在 robots.txt 中添加了如下内容：

User-agent: *
Disallow: /admin
...

那么任何人都会知道，这个网站有一个 /admin 端口。特定情况下，这将给网站带来一定的威胁。

操作

访问 https://example.com/robots.txt 来获取文件内容。

404 Page

Web 应用的错误处理很关键。404 错误是其中一类。默认的 404 Not Found 网页可以告诉渗透测试者应用的技术栈，例如，使用的框架，操作系统，或者代理的版本等。所以自定义 404 页面对于网站安全来说同样重要。

操作

访问任意不存在的网站节点来查看 404 网页，获取相应的技术栈信息。

Directory Listing/ Directory Bruteforcing

网页源代码中会出现静态文件目录中文件的引用。

如果服务器没有禁用 Directory Listing (关于禁用 Direcotry Listing)，这些目录就会列出所有包含的文件。如果有敏感信息，就会造成泄露。

操作

查看源码，或者使用工具爆破应用目录，逐一查看。

wfuzz -c -u https://example.com/FUZZ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt --hc 404,301

ffuf -u https://example.com/FUZZ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt

vhost / vhost Over TLS

当访问一个网站的时候，请求中的 Host 头默认会被设置成 URL 部分。

服务器会根据 Host 头来访问相应的资源。

如果把 Host 头去掉，访问将会报 400 的错。

操作

对 vhost 和 vhost over TLS 信息的收集可以通过以下两种方式来进行。

• 直接访问 IP 地址
• 使用任意非默认的 Host 头

curl 51.158.147.132

curl -H "Host: woohoo" http://hackycorp.com

curl -H "Host: woohoo" https://hackycorp.com

TLS Alternate Name

TLS/SSL 证书有 Subject Alternate Name(s) （SAN） 属性，可以让用户给其 TLS 证书指定多个域名。可以通过浏览器或者 openssl 来获取 TLS 证书中 SAN 的信息。

操作

浏览器操作如下：

可以看到 cn.bing.com 域名证书的 SAN，这些也都是目标的相关域名，其中包含了很多子域。

openssl 方式的操作如下：

 openssl s_client -connect bing.com:443 < /dev/null 2> /dev/null | openssl x509 -noout -text | grep DNS

Checklist

• security.txt
• robots.txt
• 404 Page
• Directory Listing / Directory Bruteforcing
• vhost / vhost Over TLS
• TLS Alternate Name

待续…

参考链接

• https://en.wikipedia.org/wiki/Robots.txt
• https://securitytxt.org/
• https://en.wikipedia.org/wiki/Security.txt
• https://www.vultr.com/docs/how-to-disable-directory-browsing-on-apache/
• https://www.digitalocean.com/community/tutorials/how-to-set-up-nginx-server-blocks-virtual-hosts-on-ubuntu-16-04
• https://httpd.apache.org/docs/2.4/vhosts/examples.html
• https://serverfault.com/questions/853546/better-understanding-tls-ssl-alternative-names
• https://support.dnsimple.com/articles/what-is-ssl-san/