Cloud meta data 可能暴露 - Pen. testing

[PrettyGirl]

这些来自 ZAP 渗透测试软件的 attack 模式。我看到它说置信度很低，并且输出响应显示 HTTP/1.1 301 Moved Permanently，所以希望一切都还好？

1. 云元数据可能已公开

响应头

HTTP/1.1 301 Moved Permanently
Server: nginx
Date: Wed, 01 Nov 2023 10:10:17 GMT
Content-Type: text/html
Content-Length: 162
Connection: keep-alive
Location: https://examplesite.com/latest/meta-data/
Strict-Transport-Security: max-age=63072000

2. 发现隐藏文件 www.mysite.com/.hg

我还可以进行哪些其他测试来获得确认？

[Falco]

开箱即用的渗透测试软件结果大多是垃圾，解释每一个误报都在浪费大家的时间。

如果您发现了可重现的安全问题，请在 HackerOne 报告。

[PrettyGirl]

感谢您的回复。

是否有推荐的渗透测试软件/网站？

我注意到您提到的 HackerOne 也提供渗透测试服务。它是否由 discourse 或任何团队成员拥有、关联或隶属于他们？

[Falco]

我们付费给 HackerOne 来处理我们的安全报告和分类虚假报告，例如来自渗透测试软件的报告。CDCK 和 H1 之间没有任何隶属关系。

[PrettyGirl]

感谢您的迅速回复。