本文中提供的例子均來(lái)自網(wǎng)絡(luò)已公開(kāi)測(cè)試的例子，僅供參考。

近年來(lái)，用戶(hù)隱私泄露事件時(shí)有發(fā)生，也不得不給我們敲響警鐘。

敏感信息時(shí)業(yè)務(wù)系統(tǒng)中的保密性要求較高的數(shù)據(jù)，通常包括系統(tǒng)敏感信息和引用敏感信息。系統(tǒng)敏感信息指的是業(yè)務(wù)系統(tǒng)本身的基礎(chǔ)環(huán)境信息，比如系統(tǒng)信息，中間件版本之類(lèi)的，一旦泄露可能可以協(xié)助攻擊者提供更多的攻擊途徑和方法；應(yīng)用敏感信息指的是應(yīng)用中存儲(chǔ)的重要業(yè)務(wù)數(shù)據(jù)，比如用戶(hù)注冊(cè)時(shí)提供的一些信息，身份證、姓名、電話(huà)號(hào)碼等，泄露后可能會(huì)對(duì)應(yīng)用的用戶(hù)帶來(lái)危害，比方說(shuō)這次的萬(wàn)豪酒店敏感信息泄露事件。

我們可以分為以下幾種場(chǎng)景進(jìn)行測(cè)試：

1.敏感信息傳輸?

在業(yè)務(wù)流程中，許多敏感信息需要從客戶(hù)端提交到服務(wù)端，如果沒(méi)有采取合理的加密措施，在提交到服務(wù)端的過(guò)程中可能被第三方截取，從而產(chǎn)生信息泄露風(fēng)險(xiǎn)。?

舉個(gè)栗子：?

a).某系統(tǒng)修改密碼的時(shí)候，發(fā)現(xiàn)通過(guò)JSON進(jìn)行傳輸?shù)倪^(guò)程中，可以看到明文的新舊密碼。?

2.敏感信息顯示?

通常情況下應(yīng)用敏感信息在客戶(hù)端顯示時(shí)需要進(jìn)行脫敏，密碼等部分用戶(hù)信息是不應(yīng)該在客戶(hù)端顯示的，如果程序設(shè)計(jì)時(shí)在這部分沒(méi)有進(jìn)行很好的處理，就會(huì)產(chǎn)生敏感信息泄露漏洞。?

舉個(gè)栗子：?

a). 某系統(tǒng)登錄頁(yè)面存在缺陷，導(dǎo)致敏感信息泄露。?

b). 查看源代碼，可看見(jiàn)登錄密碼。?

c). 使用admin/gohigh1234可使用管理員權(quán)限登錄，可查看各種信息。?

3.客戶(hù)端代碼注釋?

客戶(hù)端代碼注釋有可能泄露系統(tǒng)敏感信息，對(duì)一些核心代碼進(jìn)行技術(shù)注釋也有可能會(huì)幫助攻擊者解讀代碼，為攻擊者提供便利，通常要求客戶(hù)端代碼不能包含注釋?zhuān)绕涫遣荒馨诵拇a的技術(shù)注釋。?

舉個(gè)栗子：?

a). 某系統(tǒng)智能門(mén)禁管理系統(tǒng)存在邏輯漏洞導(dǎo)致上萬(wàn)用戶(hù)敏感信息泄露。?

b). 查看源代碼發(fā)現(xiàn)有一段注釋代碼，發(fā)現(xiàn)存在用戶(hù)名和登錄密碼及請(qǐng)求路徑。?

c). 登錄后發(fā)現(xiàn)有大量的客戶(hù)敏感信息，包含身份證、業(yè)主卡號(hào)等等。?

4.錯(cuò)誤處理測(cè)試?

不安全的錯(cuò)誤處理方法可能泄露系統(tǒng)或應(yīng)用的敏感信息，手工測(cè)試的過(guò)程中應(yīng)留意各類(lèi)錯(cuò)誤信息，如果發(fā)現(xiàn)錯(cuò)誤信息中包含系統(tǒng)或應(yīng)用敏感信息，則進(jìn)行記錄。?

舉個(gè)栗子：?

某平臺(tái)sqlserver沒(méi)有對(duì)錯(cuò)誤進(jìn)行正確的處理，將詳細(xì)的錯(cuò)誤信息展示出來(lái)，暴露出數(shù)據(jù)庫(kù)列名。?

5.小總結(jié)?

以上就是對(duì)于敏感信息泄露的一點(diǎn)小總結(jié)，越來(lái)越頻發(fā)的用戶(hù)信息泄露事件也讓我們不得不反思，如何在大數(shù)據(jù)時(shí)代，保護(hù)我們的敏感信息。以下是斗哥對(duì)于敏感信息泄露防護(hù)的建議：?

1.應(yīng)根據(jù)業(yè)務(wù)特點(diǎn)定義出系統(tǒng)存儲(chǔ)的敏感信息。?

2.敏感信息在存儲(chǔ)、傳輸、顯示時(shí)應(yīng)進(jìn)行安全處理，可采用的處理方式為加密或脫敏。?

3.敏感信息不應(yīng)使用GET方式提交到服務(wù)器。?

4.用戶(hù)密碼為最高級(jí)別的敏感信息，在存儲(chǔ)、傳輸、顯示時(shí)都必須加密。?

5.需要選擇可靠的加密算法，優(yōu)先選擇不對(duì)稱(chēng)加密算法，不得使用BASE64等編碼方式進(jìn)行“加密”?

6.對(duì)于一些系統(tǒng)默認(rèn)報(bào)錯(cuò)頁(yè)面應(yīng)重新進(jìn)行設(shè)計(jì)自定義報(bào)錯(cuò)頁(yè)面，以免暴露系統(tǒng)敏感信息。