序言 创作者近期对Alexa排行靠前的大企业官网开展了某些安全测试。在其中，当网址不正确配备系统漏洞时，发觉这种难题一般不用深层次而繁杂的系统漏洞，但它将会对网址业务流程造成严重危害。在2018年年的加拿大ITSECX论坛会上，因为我共享了主题风格《Alexa Top 1 Million Security》。文中是关于我怎么使用网址不正确配备系统漏洞免费下载全部Ebay Japan的网站源代码（www.ebay.co.jp ）。 系统漏洞发觉 最开始，我应用了internetwache.org开发设计的GitTools来检测很多大企业的子域。我忽然见到检测結果跳出来Ebay日本网站（www.ebay.co.jp ）开展深化认证，我不久在电脑浏览器中开启了https://www.ebay.co.jp/.git/HEAD连接，这一看，不，现阶段的支系事实上是大神，显而易见它是git库数据泄露的风险性。
网站源码下载 应用场景左右难题，我发现了网址的主目录也泄漏了.git文件目录文件夹名称，这。换句话说，我能根据这一泄漏的.git文件目录文件夹下载全部网址的源码！ 各种各样免费下载方式参照： 《怎样运用.git文件夹下载全部网址泄露的源代码》 《CTF赛事中有关Git泄漏的小结》 《Downloading an Application’s Entire Source Code Through an Exposed GIT Directory》 《Downloading Source Codes and Other Sensitive Files Through Publicly Visible Git Repository》 《Don’t publicly expose .git or how we downloaded your website’s sourcecode – An analysis of Alexa’s 1M》 这里，我再度应用GitTools专用工具免费下载全部网址的源码。压缩文件超出800 MB。缓解压力后，大概有1.3G，包含： 数据库查询登陆密码 WordPress配置文件和客户的后台管理登录密码哈希 网站日志文档 客户文件上传 许多PHP源码 别的比较敏感客户信息。 結果，我立即汇报了Ebay自身的系统漏洞赏金新项目，花了大概13个钟头来进行bug修补。但最终，感到遗憾，由于Ebay不兼容因网络安全问题而得到现钱奖赏，因此也没有获得一切奖赏，但因为我荣幸进到她们的安全性名人堂成员。 完毕 稿子公布后，它在Reddit小区造成了轩然大波。许多网民都对Ebay上的洞奖励金表达比较严重未满。我认为创作者发觉的系统漏洞应当给与巨额收益。最终，在各种各样工作压力下，Ebay挑选向慈善组织捐助600美金做为对系统漏洞的谢谢。