天海旅行社網站目錄瀏覽啟用及 .git 目錄暴露導致內部資訊洩漏

Vulnerability Overview

ZDID: ZD-2026-00495
發信 Vendor: 天海旅行社股份有限公司
Title: 天海旅行社網站目錄瀏覽啟用及 .git 目錄暴露導致內部資訊洩漏
Introduction: 網站 Web 伺服器啟用目錄瀏覽功能，暴露 LINE Bot SDK 專案之 .git 目錄，導致內部伺服器主機名稱、使用者權限及技術架構等敏感資訊遭外部取得

處理狀態

目前狀態

公開

Last Update : 2026/06/03

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2026/04/03 00:52:13 : 新提交 (由 Ianon 更新此狀態)
2026/04/07 22:45:33 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/04/09 18:36:47 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/04/09 18:36:47 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/06/03 03:00:04 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00495
通報者：Ianon (Ianon)
風險：中
類型：資訊洩漏 (Information Leakage)

參考資料

攻擊者可利用洩漏資訊進行下一步攻擊行為。

OWASP 漏洞說明 (Top 10 2017 - A3 Sensitive Data Exposure)
https://www.owasp.org/index.php/Top_10-2017_A3-Sensitive_Data_Exposure

CWE-200 漏洞說明
https://cwe.mitre.org/data/definitions/200.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

漏洞描述
於 https://www.tourking.com.tw/line-bot-sdk/ 發現 Web 伺服器啟用了目錄瀏覽 (Directory Listing) 功能，導致整個專案目錄結構及 .git 版本控制目錄可被外部直接存取。
經分析，該目錄為 LINE Corporation 官方開源之 LINE Bot SDK for PHP（Apache 2.0 授權），係從公開 GitHub 倉庫 http://www.github.com/line/line-bot-sdk-php 複製而來。

重現步驟

開啟瀏覽器造訪 https://www.tourking.com.tw/line-bot-sdk/.git/
可見目錄索引頁面，列出以下內容：
- HEAD、config、description、index
- branches/、hooks/、info/、logs/、objects/、refs/
- packed-refs

造訪 https://www.tourking.com.tw/line-bot-sdk/.git/logs/HEAD 可見 Git 操作日誌：

0000000000000000000000000000000000000000 3cf91f95f1e07b8c84a6e02b8afc947ea37984c6 root <[email protected]> 1547600579 +0800 clone: from http://www.github.com/line/line-bot-sdk-php

造訪 https://www.tourking.com.tw/line-bot-sdk/.git/config 可見遠端倉庫設定：

[remote "origin"]
fetch = +refs/heads/*:refs/remotes/origin/*
url = http://www.github.com/line/line-bot-sdk-php

造訪 https://www.tourking.com.tw/line-bot-sdk/.git/packed-refs 可見全部 27 個版本標籤（v0.0.1 至 v3.6.1）
已洩漏之敏感資訊：
內部主機名稱：tyan.tourking.com.tw
執行使用者：root
部署時間：2019-01-16 00:02:59 (UTC+8)
技術架構：PHP + LINE Bot SDK v3.6.1
專案用途：LINE Bot 整合
目錄結構：完整專案檔案列表

影響

攻擊者可藉此推導內部網路架構及伺服器命名慣例
得知系統以 root 權限執行，若存在其他漏洞可擴大攻擊面
暴露技術棧資訊，便於攻擊者進行弱點掃描及針對性攻擊
目錄瀏覽功能可能被用於探索網站其他敏感目錄或檔案
雖本次暴露之程式碼為開源專案，但若未來有客製化修改，其 Git 歷史可能包含硬編碼之 Channel Access Token、Channel Secret 等敏感憑證

修補建議

1. 立即關閉目錄瀏覽功能：
2. 阻擋 .git 目錄存取：

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

天海旅行社網站目錄瀏覽啟用及 .git 目錄暴露導致內部資訊洩漏 - HITCON ZeroDay

Vulnerability Detail Report