搜索

[15885] 2020-09-23_【FreeBuf字幕组】Hackerone数据泄漏漏洞讲解

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-09-23_【FreeBuf字幕组】Hackerone数据泄漏漏洞讲解 【 F r e e B u f 字 幕 组 】 H a c k e r o n e 数 据 泄 漏 漏 洞 讲 解 w i l l h u a n g   F r e e B u f   2 0 2 0 - 0 9 - 2 3 内 容 介 绍 内 容 介 绍 本 视 频 中 ， 我 们 来 讲 解 一 个 在 H a c k e r O n e 平 台 报 送 且 影 响 H a c k e r O n e 系 统 自 身 的 漏 洞 ， 利 用 该 漏 洞 可 通 过 构 造 G r a p h Q L 查 询 请 求 ， 获 取 大 量 H a c k e r O n e 系 统 中 的 未 授 权 敏 感 数 据 ， 如 涉 及 H a c k e r O n e 白 帽 人 员 的 各 种 表 名 ： a c c o u n t _ r e c o v e r y _ p h o n e _ n u m b e r 、 a c c o u n t _ r e c o v e r y _ u n v e r i f i e d _ p h o n e _ n u m b e r 、 a d d r e s s 、 e m a i l 、 p a y o u t _ p r e f e r e n c e s 等 ， 将 可 导 致 H a c k e r O n e 平 台 大 量 数 据 泄 露 。 该 漏 洞 原 因 在 于 ， H a c k e r O n e 工 程 师 团 队 在 某 次 G r a p h Q L 应 用 层 更 新 中 ， 向 原 本 基 于 e d g e s 的 访 问 控 制 措 施 中 添 加 了 n o d e s 查 询 构 造 功 能 ， 形 成 了 e d g e s   { n o d e } 形 式 的 查 询 构 造 ， 但 这 里 只 需 构 造 基 于 n o d e s 的 查 询 请 求 ， 即 可 绕 过 其 基 于 e d g e s 的 访 问 控 制 措 施 和 相 关 属 性 级 别 授 权 ， 实 现 对 内 部 数 据 库 未 授 权 信 息 的 请 求 查 询 ， 将 会 造 成 严 重 的 数 据 泄 露 事 件 。 最 后 ， 好 在 经 H a c k e r O n e 分 析 调 查 ， 攻 击 者 还 未 曾 对 该 隐 患 进 行 过 攻 击 利 用 ， 因 此 ， 该 份 漏 洞 报 告 的 提 交 及 时 为 H a c k e r O n e 预 防 了 安 全 风 险 。 详 细 漏 洞 报 告 请 参 考 ： h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 4 8 9 1 4 6 观 看 视 频 观 看 视 频 * 本 课 程 翻 译 自 本 课 程 翻 译 自 Y o u t u b e 精 选 系 列 教 程 ， 精 选 系 列 教 程 ， F r e e B u f 视 频 组 荣 誉 出 品 ， 喜 欢 的 点 一 波 关 注 （ 每 周 更 新 ） ！ 视 频 组 荣 誉 出 品 ， 喜 欢 的 点 一 波 关 注 （ 每 周 更 新 ） ！ * 本 文 中 涉 及 到 的 相 关 漏 洞 已 报 送 厂 商 并 得 到 修 复 ， 本 文 仅 限 技 术 研 究 与 讨 论 ， 严 禁 用 于 非 法 用 途 ， 否 则 产 生 的 本 文 中 涉 及 到 的 相 关 漏 洞 已 报 送 厂 商 并 得 到 修 复 ， 本 文 仅 限 技 术 研 究 与 讨 论 ， 严 禁 用 于 非 法 用 途 ， 否 则 产 生 的 一 切 后 果 自 行 承 担 。 一 切 后 果 自 行 承 担 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理