Утечка внутреннего IP-адреса
Предисловие
Непрерывные обновления: систематизируйте уязвимости, обнаруженные в ходе тестирования на проникновение (включая описание уязвимостей, уровень уязвимости, проверку уязвимостей и предложения по устранению). Мы не будем углубляться в различные методы постэксплуатации или обхода уязвимостей. Процесс проверки уязвимостей не ограничивается. статьи Способ в котором может доказать наличие уязвимости.
0x01 Описание уязвимости
- Утечка внутреннего IP-адреса -
IP-адреса интрасети часто появляются в сообщениях об ошибках, генерируемых веб-приложениями/серверами, или в комментариях HTML/JavaScript и частичных ссылках перехода на страницы. Собирая информацию о веб-сайте и обнаруживая IP-адреса, используемые в его интрасети (например, сегменты IP-адресов интрасети, IP-маршрутизацию и т. д.), злоумышленники могут помочь злоумышленникам провести атаки на сетевом уровне, направленные на проникновение во внутреннюю инфраструктуру организации. RFC 1918 определяет диапазон IP-адресов, зарезервированных для частных сетей, которые нельзя маршрутизировать в общедоступном Интернете. Внутренние IP-адреса определяются как следующие диапазоны IP-адресов:
- Диапазон адресов класса A [10.0.0.0—10.255.255.255]
- Диапазон адресов класса B [172.16.0.0–172.31.255.555]
- Диапазон адресов класса C [192.168.0.0–192.168.255.255]
уровень уязвимости 0x02
Уровень угрозы | высокий риск | средний риск | низкий риск |
|---|
0x03 Проверка уязвимости
Тест показал, что адрес перехода HTTP-заголовка веб-сайта содержал IP-адрес интрасети.
Тест показал, что содержимое файла ресурсов JS веб-сайта содержало утечку IP-адреса интрасети.
Тест показал, что из URL-адреса перехода на страницу веб-сайта произошла утечка IP-адреса интрасети.
исправление ошибки 0x04
- Разработчикам рекомендуется не включать IP-адреса интрасети в комментарии исходного кода.
- Правильно настройте WEB-сервер и запретите передачу IP-адресов интрасети при взаимодействии данных.
- Отключите подробные сообщения об ошибках при проблемах в веб-приложениях/серверах и настройте страницы ошибок, чтобы предотвратить утечку информации об ошибках.
- Удалить портативную интрасеть IP Обратитесь к странице и сформулируйте полную стратегию кодирования безопасности, а также быстро проверьте, содержит ли существующий код страницы внутренние IP Проблема решения.
Неразрушающее увеличение изображений одним щелчком мыши, чтобы сделать их более четкими артефактами искусственного интеллекта, включая руководства по установке и использованию.
Копикодер: этот инструмент отлично работает с Cursor, Bolt и V0! Предоставьте более качественные подсказки для разработки интерфейса (создание навигационного веб-сайта с использованием искусственного интеллекта).
Новый бесплатный RooCline превосходит Cline v3.1? ! Быстрее, умнее и лучше вилка Cline! (Независимое программирование AI, порог 0)
Разработав более 10 проектов с помощью Cursor, я собрал 10 примеров и 60 подсказок.
Я потратил 72 часа на изучение курсорных агентов, и вот неоспоримые факты, которыми я должен поделиться!
Идеальная интеграция Cursor и DeepSeek API
DeepSeek V3 снижает затраты на обучение больших моделей
Артефакт, увеличивающий количество очков: на основе улучшения характеристик препятствия малым целям Yolov8 (SEAM, MultiSEAM).
DeepSeek V3 раскручивался уже три дня. Сегодня я попробовал самопровозглашенную модель «ChatGPT».
Open Devin — инженер-программист искусственного интеллекта с открытым исходным кодом, который меньше программирует и больше создает.
Эксклюзивное оригинальное улучшение YOLOv8: собственная разработка SPPF | SPPF сочетается с воспринимаемой большой сверткой ядра UniRepLK, а свертка с большим ядром + без расширения улучшает восприимчивое поле
Популярное и подробное объяснение DeepSeek-V3: от его появления до преимуществ и сравнения с GPT-4o.
9 основных словесных инструкций по доработке академических работ с помощью ChatGPT, эффективных и практичных, которые стоит собрать
Вызовите deepseek в vscode для реализации программирования с помощью искусственного интеллекта.
Познакомьтесь с принципами сверточных нейронных сетей (CNN) в одной статье (суперподробно)
50,3 тыс. звезд! Immich: автономное решение для резервного копирования фотографий и видео, которое экономит деньги и избавляет от беспокойства.
Cloud Native｜Практика: установка Dashbaord для K8s, графика неплохая
Краткий обзор статьи — использование синтетических данных при обучении больших моделей и оптимизации производительности
MiniPerplx: новая поисковая система искусственного интеллекта с открытым исходным кодом, спонсируемая xAI и Vercel.
Конструкция сервиса Synology Drive сочетает проникновение в интрасеть и синхронизацию папок заметок Obsidian в облаке.
Центр конфигурации————Накос
Начинаем с нуля при разработке в облаке Copilot: начать разработку с минимальным использованием кода стало проще
[Серия Docker] Docker создает мультиплатформенные образы: практика архитектуры Arm64
Обновление новых возможностей coze | Я использовал coze для создания апплета помощника по исправлению домашних заданий по математике
Советы по развертыванию Nginx: практическое создание статических веб-сайтов на облачных серверах
Feiniu fnos использует Docker для развертывания личного блокнота Notepad
Сверточная нейронная сеть VGG реализует классификацию изображений Cifar10 — практический опыт Pytorch
Начало работы с EdgeonePages — новым недорогим решением для хостинга веб-сайтов
[Зона легкого облачного игрового сервера] Управление игровыми архивами
