Web Security Academy
Information disclosure - Lab : Information disclosure on debug page
Objectif :
Obtenir le numéro de la valeur de la variable d'environnement SECRET_KEY de PHP dans l'application.
Solution :
Lorsqu'on lance le lab, on accède à un site de commerce. En regardant le code source de la page d'accueil, on aperçoit dans un commentaire la présence d'un fichier /cgi-bin/phpinfo.php existant dans le serveur.
On essaye d'accéder à ce fichier depuis l'URL et la célèbre page phpinfo contenant la configuration PHP du serveur s'affiche.
Enfin on peut trouver la valeur de la variable d'environnement SECRET_KEY de PHP sur cette page :
Il suffit de soumettre cette valeur pour valider le lab.
