备份文件泄露

备份文件泄露指应用开发测试及运行过程中遗留的备份文件（如bak文件、源码包、日志文件等）被攻击者通过浏览器直接访问或下载，进而获取网站源码、敏感数据甚至直接登录系统的安全漏洞。以下是具体分析：

漏洞原理及危害

原理：应用在开发、测试或运行阶段，可能因配置不当或操作疏忽，在Web可访问目录下遗留备份文件（如.bak、.rar、.log、SVN/Git备份源码等）。这些文件未被及时清理或权限未正确设置，导致攻击者可通过浏览器直接访问或下载。

图：攻击者通过扫描工具发现备份文件路径并下载

危害：
数据泄露：攻击者可获取数据库备份文件（如.sql）、日志文件（如.log）或源代码，暴露用户信息、业务逻辑等敏感数据。
系统入侵：通过分析源码（白盒审计），攻击者可发现其他漏洞（如SQL注入、弱口令），甚至直接利用硬编码的密钥或账号登录系统。
合规风险：违反数据保护法规（如GDPR），导致法律处罚和声誉损失。

测试方法

Web漏洞扫描：使用自动化工具（如Burp Suite、AWVS）爬取网站路径和链接，检测是否存在可下载的备份文件。
图：DirBuster工具爆破目录发现备份文件
字典爆破：通过构造常见备份文件名的字典（如website.bak、config.rar），使用工具（如Dirsearch、DirBuster）对目标目录进行暴力枚举，尝试访问或下载文件。

修复建议

清理备份文件：
网站管理员需定期检查Web可访问目录（如/wwwroot、/backup），删除或转移以下后缀的备份文件：.bak、.sql、.txt、.rar、.zip、.log、.swp（Vim临时文件）等。
示例命令（Linux）：
find /var/www/html -type f ( -name "*.bak" -o -name "*.sql" ) -exec rm -f {} ;
限制敏感文件存放：
严禁将数据库备份、源码包、日志文件等敏感内容存储在Web可访问目录下。建议使用专用服务器或加密存储（如AWS S3加密桶）。
配置Web服务器（如Nginx、Apache）禁止访问特定后缀文件，例如在Nginx中添加：
location ~* .(bak|sql|log|rar|zip)$ { deny all; return 403;}
权限控制：
对Web目录设置最小权限原则，确保仅必要用户（如www-data）有读取权限，其他用户（包括攻击者）无权访问。
示例命令（Linux）：
chmod -R 750 /var/www/htmlchown -R www-data:www-data /var/www/html
日志监控：
启用Web服务器访问日志，监控异常下载行为（如频繁访问.bak文件），及时预警并阻断攻击。

预防措施

开发阶段：
使用版本控制工具（如Git）时，通过.gitignore文件排除备份文件，避免提交到代码库。
示例.gitignore内容：
*.bak*.sql*.log*.rar*.zip
运维阶段：
自动化备份流程：使用脚本（如mysqldump+cron）生成备份文件后，立即转移到非Web目录或离线存储。
定期安全扫描：结合工具（如Nessus、OpenVAS）扫描备份文件泄露风险，确保无遗漏。

热门标签