本文是《攻防演练 | JS泄露到主机失陷^[1]》的学习笔记，欢迎大家阅读原文。

攻击路径

1. 通过未授权访问攻击获取敏感数据

2. 通过SQL注入攻击获取服务器权限

3. 通过凭据访问攻击获取数据库权限和敏感数据和应用权限

安全风险与加固措施

通过未授权访问攻击获取敏感数据、通过SQL注入攻击获取服务器权限

API资产存在漏洞攻击风险：前端（HTML文件、JS文件等）发布的API资产，未专项开展资产盘点和风险评估工作，存在 OWASP Top 10 API Security Risks 的漏洞攻击风险，可被攻击者获取公民个人信息、业务数据、数据库权限、服务器权限等。

1. 盘点所有API资产并定期更新

2. 确保所有API资产在新增和变更时会进行风险评估

3. 确保所有API资产已具备WAF或RASP等应用层安全防护

通过凭据访问攻击获取数据库权限和敏感数据和应用权限

服务器配置文件存在凭据访问攻击风险：部署在服务器中的应用，其数据库配置文件可被攻击者用于登录数据库，获取数据库权限、数据库中的公民个人信息和业务数据、数据库中本站/旁站的应用权限（密码解密后登录）。

1. 目前无解

1. https://www.freebuf.com/articles/defense/417182.html ↩