当前位置： 首页 > news >正文

CTFHub技能树-信息泄露-HG泄漏

news 来源：原创 2024/9/20 4:11:57

目录

漏洞产生原因

解题过程

 

当开发人员使用 Mercurial 进行版本控制，对站点自动部署。如果配置不当,可能会将.hg 文件夹直接部署到线上环境。这就引起了 hg 泄露漏洞。

漏洞产生原因

Mercurial(hg)是一种分布式版本控制系统，它与Git类似也可以用于管理代码的版本控制，如果Mercurial服务器的安全措施不当或用户不小心，可能会导致Mercurial源码的信息泄露的问题，而Mercurial源码信息泄露的原理是因为Mercurial服务器上的源代码未被正确保护，导致未经授权的用户可以轻易地访问和下载代码，这可能会导致以下问题

  • 暴露源代码：未经授权的用户可以轻易地访问和下载源代码，包括敏感信息，例如密码、API密钥和凭据等
  • 增加恶意攻击的风险：未经授权的用户可以轻易地访问和下载源代码，黑客可以使用这些代码来发起攻击，例如通过发现代码漏洞来入侵服务器或者应用程序

解题过程

老规矩上来先用dirsearch扫

然后使用 dvcs-ripper 工具中的 rip-svn.pl 脚本进行下载

./rip-hg.pl -v -u http://challenge-9005d52ddc930d30.sandbox.ctfhub.com:10800/.hg

 

拿到flag

相关文章：

  • 北京网站建设多少钱？
  • 辽宁网页制作哪家好_网站建设
  • 高端品牌网站建设_汉中网站制作
  • linux-硬件与设备管理-硬件信息查看
  • 信息安全工程师（6）网络信息安全现状与问题
  • TI AM62X Secure Boot 流程简述
  • Python计算机视觉第十章-OpenCV
  • 开源项目 face parsing 人脸区域分割 人像区域分割 人脸分割 人像区域分割 BiSeNet
  • [mysql]mysql排序和分页
  • 9.18 微信小程序开发笔记
  • vue-ts-demo
  • 二十种编程语言庆祝中秋节
  • 若依笔记（六）：前后端token鉴权体系
  • 初始爬虫1(补充)
  • 【YashanDB认证】探索YashanDB的学习历程
  • QT学习与数据库连接
  • 鸿蒙Harmony应用开发，数据驾驶舱网络请求（Axios） 封装
  • 数据库事务的详解
  • 30秒的PHP代码片段（1）数组 - Array
  • Android Studio：GIT提交项目到远程仓库
  • android高仿小视频、应用锁、3种存储库、QQ小红点动画、仿支付宝图表等源码...
  • bearychat的java client
  • Centos6.8 使用rpm安装mysql5.7
  • Codepen 每日精选（2018-3-25）
  • ESLint简单操作
  • express如何解决request entity too large问题
  • JavaScript类型识别
  • linux学习笔记
  • Octave 入门
  • Shell编程
  • vue2.0开发聊天程序(四) 完整体验一次Vue开发（下）
  • 从0到1：PostCSS 插件开发最佳实践
  • 订阅Forge Viewer所有的事件
  • 服务器之间，相同帐号，实现免密钥登录
  • 简单实现一个textarea自适应高度
  • 开发了一款写作软件(OSX,Windows)，附带Electron开发指南
  • 理解IaaS, PaaS, SaaS等云模型 (Cloud Models)
  • 思维导图—你不知道的JavaScript中卷
  • 一个JAVA程序员成长之路分享
  • ［地铁译］使用SSD缓存应用数据——Moneta项目: 低成本优化的下一代EVCache ...
  • ​比特币大跌的 2 个原因
  • # 深度解析 Socket 与 WebSocket：原理、区别与应用
  • #QT项目实战（天气预报）
  • $.ajax()
  • (NSDate) 时间 (time )比较
  • （附源码）springboot 房产中介系统 毕业设计 312341
  • (三)模仿学习-Action数据的模仿
  • .net core 3.0 linux,.NET Core 3.0 的新增功能
  • .NET Core 中插件式开发实现
  • .NET/C#⾯试题汇总系列：⾯向对象
  • .NET开源项目介绍及资源推荐：数据持久层
  • @AliasFor 使用
  • @cacheable 是否缓存成功_Spring Cache缓存注解
  • @Service注解让spring找到你的Service bean
  • [ Linux ] git工具的基本使用（仓库的构建，提交）
  • [ 隧道技术 ] 反弹shell的集中常见方式（四）python反弹shell
  • [2023年]-hadoop面试真题(一)
  • [Android]Tool-Systrace