Everything 配置問題致使信息泄露覆現

0x00 簡介

Everything是一個私有的免費Windows桌面搜索引擎，能夠在NTFS捲上快速地根據名稱查找文件和目錄。

"Everything" 是 Windows 上一款搜索引擎，它可以基於文件名快速定文件和文件夾位置。

不像 Windows 內置搜索，"Everything" 默認顯示電腦上每一個文件和文件夾 (就如其名 "Everything")。

 

0x01 漏洞概述

因爲在配置中開啓了ETP/FTP服務和HTTP服務，致使能夠直接訪問服務器上的文件。

 

0x02 影響範圍

全部開啓ETP/FTP服務和HTTP服務且未設置帳號密碼的Everything

 

0x03 環境搭建

官網下載最新版本

https://everything.en.softonic.com/

雙擊安裝，所有爲默認便可

雙擊打開Everything，在 工具 -- 選項 -- HTTP服務器處，啓動HTTP服務並設置端口（FTP同理）

 

0x04 漏洞利用

瀏覽器訪問開啓的HTTP服務

http://127.0.0.1:8888

 

因爲默認勾選了容許HTTP文件下載，因此在訪問敏感信息的同時也能夠任意文件下載

0x05 修復方式

開啓ETP/FTP服務和HTTP服務時同時設置帳號密碼，以下圖：

 

 更多最新漏洞復現，歡迎關注個人我的公衆號：Timeline Sec