什么是信息泄露漏洞？
信息泄露漏洞是指Web应用或系统在设计、开发或运维过程中，对敏感信息保护不足，导致攻击者能够未授权获得服务器配置、用户数据、业务逻辑、源码、接口信息、系统账号密码、敏感日志等关键信息的安全漏洞。信息泄露会为其他漏洞（如SQL注入、XSS、目录遍历、越权访问等）提供便利条件，极大增加整体安全风险。
信息泄露的常见类型
- 调试信息泄露
- 生产环境未关闭调试模式，页面返回详细错误堆栈、变量内容、系统信息。
- 源代码泄露
- Web服务器配置不当、代码包下载、编译文件（如
.git、.svn、.DS_Store、bak 文件）被直接访问。
- 数据库/配置文件泄露
- 数据库用户名、密码、连接字符串、第三方API密钥等配置误被下载。
- 日志/敏感文件泄漏
- 日志位置可被直接访问、日志暴露用户行为、cookie、session 等信息。
- 接口与API文档暴露
- Swagger、API-Explorer等开发接口未鉴权公开，泄露接口结构和敏感参数。
- 用户或业务数据泄漏
- 用户信息、账户、订单、支付等数据未做权限限制或暴露在错误的接口/前端变量。
- 第三方组件信息暴露
- 通过 HTTP Headers 或版本号信息让攻击者获知服务器操作系统、Web服务、组件版本等。
典型危害
- 辅助其它攻击
泄露的配置信息、接口参数、代码实现方式为SQL注入、XSS、CSRF、命令执行等漏洞利用提供重要线索。
- 账号、数据直接暴露
攻击者迂回获取数据库、业务管理员后台、用户信息甚至银行卡号等造成重大数据安全事故。
- 企业内网渗透
泄露VPN、堡垒机、办公系统等内部信息成为内部攻击入口。
- 业务竞争、合规风险
源代码、业务逻辑泄露影响企业竞争力和合规合约。
信息泄露具体实例
- 访问
http://example.com/.git/config 发现完整仓库信息，可还原源代码。
- 错误页面显示
Exception: SQL syntax error near ... in /var/www/app.py on line 12 暴露框架与代码结构。
- 生产数据库配置被误放在
config.php.bak，可直接下载查看。
logs/app.log 文件可被外部访问，其中包含敏感 API Token。/debug、/swagger 页面无需认证即可获取所有接口说明和调试信息。
防御信息泄露的措施
- 关闭调试模式与详细错误输出
- 生产环境需完全关闭调试信息和详细报错，统一返回友好的错误信息。
- 加强访问控制
- 配置 Web 服务器禁止访问源码、配置、备份、隐藏目录等敏感文件与路径（如
.git/、.env、logs/ 等）。
- 最小化信息输出
- HTTP Header 隐藏或自定义 Web 服务器、语言、框架等版本和组件标识。
- 严格权限管理
- 定期检测与扫描
- 使用信息泄露扫描工具对线上站点、代码与配置文件定期巡查。
- 合理日志管理
- 日志文件存储在安全位置，访问受限，不记录敏感账号、密码、密钥明文信息。
- 及时删除备份、测试文件
企业和开发者应高度重视信息安全保护，从源头及全链路防止敏感信息落入攻击者之手。
