.git 文件泄露导致 Zendesk 面板被接管的技术分析

作者：qife122

2025-09-27
福建
本文字数：537 字
阅读完需：约 2 分钟

.git 文件如何导致 Zendesk 面板被接管

Abdelrhman Allam (sl4x0) 关注 · 2024 年 4 月 25 日 · 1821 次阅读

بِسْمِ اللَّهِ الرَّحْمَـٰنِ الرَّحِيمِ

各位黑客同仁好！在 BugSwagger 最近的渗透测试任务中，我发现了允许接管管理员 Zendesk 面板的.git 路径漏洞。

技术背景

本文重点披露在 git 仓库中发现的关键漏洞。该漏洞允许未授权攻击者使用简单命令获取完整源代码库，并获得 Zendesk 面板的完全访问权限。

漏洞利用过程

通过以下命令使用 goop 工具下载.git 文件：

goop https://uat1-middleware.REDACTED.com/.git

复制代码

下载的源代码中包含名为zendesk_functions.php的文件，其中以明文形式存储敏感凭证：

define("ZENDESK_API_USERNAME", "REDEACTED@REDEACTED.com");define("ZENDESK_API_PASSWORD", "REDEACTED_PASSWORD");define("ZENDESK_API_URL", "https://yourcompany.zendesk.com/api/v2/tickets.json");

复制代码

漏洞验证

为确认凭证有效性，我访问https://www.zendesk.com/login/ 使用这些凭据登录。如下图所示，我们获得了没有任何限制的完整管理员面板访问权限。更多精彩内容请关注我的个人公众号公众号（办公 AI 智能小助手）对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享）

公众号二维码