Bạn nào đã từng chơi root-me.org thì chắc cũng sẽ biết đến một trong số những bài đầu của Web Server : "
HTTP directory indexing" hôm nay mình sẽ phân tích về vấn đề đó theo cách diễn tả của mình.
Bắt
đầu nào, directory là thư mục vậy http directory indexing nói nôm na sẽ
là thông qua http để truy cập vào thư mục thường được hiển thị ở site
index.
Cũng như bài tập trên root-me, đầu tiên chúng ta tấn công dictionary để xem các directory thông qua các wordlist.
Các
bạn có thể tự viết tools bằng nhiều ngôn ngữ, ví dụ như Python hoặc lên
github cũng sẽ có rất nhiều tools cho các bạn. Ở đây tôi dùng luôn công
cụ "dirb" trên Kali Linux.
Sau khi chạy "dirb" ta thu được.
Tiếp tục nào, thử nhập những link đó vào Brower xem sao:
Không bị hạn chế 403. :D :D :D
Lòng
vòng bên trong cfco.com.vn và 1 số site do cfco tạo ra mình thu được
một số thứ như, bộ tools với file manager, danh sách khách hàng, danh
sách mạng lưới và một điều rất là thú vị nữa đó chính là "email" và
"password" của một email quản lý.
Tiếp tục truy cập vào trong email nào.
Không gặp phải bất kỳ vấn đề xác thực nào. Cái này người dùng cần xác thực 2 lớp nhé.
Trong email thì mình phát hiện ra email này không chỉ quản lý mỗi một trang mà là rất nhiều trang :((
Mọi thông tin như số điện thoại khách hàng, tên tuổi, địa chỉ, hóa đơn đều trong này cả.
Thậm chí một số người dùng đăng ký tài khoản trên này lại trùng với tài khoản mạng xã hội như facebook, gmail...
Rất nhiều trang dịch vụ thương mại điện tử lớn đang sử dụng dịch vụ của A như: Zenda, Sevenam, goceva, senslim, ...
Timeline:
14:00:00 24/04/2017 - Thử nghiệm trên các site do cfco.com.vn thiết kế.
14:00:00
25/04/2017 - Gọi điện báo cho bên kỹ thuật của cfco.com.vn và nhận được
sự phản hồi và sẽ thực hiện fix sau 30/04/2017, nghỉ lễ cái đã nhỉ. :D
14:00:00 26/04/2017 - Phát hiện có đối tượng khác truy cập vào mail của bên cfco.com.vn, tiếp tục thông báo để fix.
11:00:00 05/05/2017 - cfco.com.vn fixed.
12:00:00 05/05/2017 - Public để cảnh báo cho mọi người.
