网站备份压缩文件
1、相关背景
在网站的使用过程中，往往需要对网站中的文件进行修改、升级。此时就需要对网站整站或者其中某一页面进行备份。当备份文件或者修改过程中的缓存文件因为各种原因而被留在网站web目录下，而该目录又没有设置访问权限时，便有可能导致备份文件或者编辑器的缓存文件被下载，导致敏感信息泄露，给服务器的安全埋下隐患。
2、漏洞成因及危害
该漏洞的成因主要有以下两种：
- 服务器管理员错误地将网站或者网页的备份文件放置到服务器web目录下。
- 编辑器在使用过程中自动保存的备份文件或者临时文件因为各种原因没有被删除而保存在web目录下。
该漏洞往往会导致服务器整站源代码或者部分页面的源代码被下载，利用。源代码中所包含的各类敏感信息，如服务器数据库连接信息，服务器配置信息等会因此而泄露，造成巨大的损失。被泄露的源代码还可能会被用于代码审计，进一步利用而对整个系统的安全埋下隐患。
3、漏洞检测
该漏洞的检测方法较为简单，只需要不断尝试访问服务器上的备份文件即可。提升成功率的关键在于所使用好的字典。
常见的备份文件文件后缀有以下几类：
.rar .zip .7z .tar.gz .bak .swp .txt .html ……
常见的备份文件文件名有以下几种
www back backup web temp data 新建文件夹 ……
一般需要将网站的页面文件路径，网站文件夹路径，还有常见的备份文件文件名还有文件后缀组合起来生成字典，用于备份文件扫描。
该漏洞本质上是在对网站中的备份文件路径进行爆破。有时候即使网站web目录中有备份文件存在也不一定能被猜到地址。
4、实际案例
5、漏洞修复
删除相应的压缩备份文件或将压缩备份文件移出web目录已防止其被下载。
