搜索

[7615] 2021-06-11_API权限控制不严泄露敏感信息

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2021-06-11_API权限控制不严泄露敏感信息 A P I 权 限 控 制 不 严 泄 露 敏 感 信 息 F 1 2 s e c   2 0 2 1 - 0 6 - 1 1 编 者 荐 语 ： 学 习 了 以 下 文 章 来 源 于 墨 雪 飘 影   ， 作 者 谢 谢 你 喜 欢 我 点 击 蓝 字       关 注 我 我 干 嘛 来 了 ？ 我 来 水 文 章 ， 有 师 傅 问 我 怎 么 挖 的 敏 感 信 息 ， 我 说 捡 的 ， 都 不 信 。 （ 本 文 没 有 排 版 ， 懒 得 排 版 ， 能 看 就 行 ） 1 、 网 站 听 说 某 校 重 新 上 了 证 书 ， 虽 然 我 有 洞 ， 但 是 没 金 币 ， 只 好 又 去 打 一 遍 ， 看 看 能 不 能 摸 到 。 打 开 目 标 站 点 ， 一 看 网 络 请 求 墨 雪 飘 影 墨 雪 飘 影   . 技 术 交 流 。
真 好 ， 真 是 日 内 瓦 好 在 天 无 绝 人 之 路 G e t 请 求 ， 八 成 就 是 A P I ， 再 看 h e a d e r s ， 果 然 是 的 。 直 接 打 开 A P I 地 址
当 头 就 是 一 个 s w a g g e r 测 试 一 下 试 试 获 取 列 表 直 接 4 0 1 ， 要 登 录
我 会 轻 易 放 弃 吗 ？ 显 然 不 会 经 过 我 的 不 断 测 试 （ 耗 时 很 久 ） ， 我 发 现 带 a d m i n 的 都 不 能 越 权 和 未 授 权 访 问 ， 不 带 a d m i n 的 A P I 有 一 些 可 以 未 授 权 比 如 ： 不 登 录 获 取 动 态 列 表 随 手 测 试 ， 疑 似 s e l e c t   * 写 法 ， 全 返 回 了 ， 不 过 我 们 只 需 要 u s e r I d 字 段 ， 这 个 大 有 用 处 利 用 另 一 个 接 口 ： 根 据 用 户 I D 获 取 用 户 信 息 ， 你 说 巧 不 巧 ， 这 个 接 口 属 于 公 共 A P I ， 不 需 要 授 权
个 人 信 息 g e t 。 这 个 点 我 还 没 交 ， 我 交 了 另 一 个 位 置 ， 需 要 登 录 的 洞 。 2 、 小 程 序 由 网 站 可 知 ， 这 个 程 序 配 套 一 个 小 程 序 ， 直 接 扫 码 进 入 小 程 序 （ f i d d l e r 抓 包 ） 为 什 么 用 f d 抓 包 ？ 因 为 我 用 的 P C 版 微 信 ， f d 可 以 指 定 进 程 。 选 择 进 程 ， 拖 到 小 程 序 上 ， 小 程 序 变 色 就 行 了 ， 然 后 测 试
不 限 制 账 号 ， 自 己 接 码 登 录 就 行 了 ， 主 要 是 获 取 c o o k i e 获 取 到 c o o k i e 备 用
点 校 友 组 织 然 后 点 第 一 个 人 数 最 多 的 （ 数 据 也 多 ） 点 进 来 可 以 点 击 成 员 - > 更 多 ， 提 示 加 入 才 行 ， 不 用 管 ， 包 已 经 抓 到 了 。
这 不 就 来 了 吗 ， 后 面 还 有 ， 这 点 信 息 怕 是 没 危 害 学 号 ， u s e r I d 都 有 了 ， 还 不 够 ？ 够 了 吧 ？ 至 于 上 面 的 C o o k i e 什 么 作 用 。 当 然 是 模 拟 请 求 用 了 。 改 l i m i t ， 可 以 调 整 输 出 内 容 的 条 数 。 3 、 赠 送 内 容 其 实 s w a g g e r 文 档 给 的 A P I 还 有 挺 多 的 ， 能 未 授 权 的 还 有 多 处 这 里 也 是 未 授 权 的
等 等 对 了 ， 新 的 查 询 平 台 不 会 随 时 挂 了 。 地 址 ： h t t p s : / / d a t a . s h i k a n g s i . c o m 示 例 图 ： 这 是 简 单 数 据 查 询
这 是 详 细 数 据 查 询 E N D 欢 迎 关 注 欢 迎 关 注 扫 码 关 注 我 们 扫 码 关 注 我 们 我 忘 了 上 次 这 里 说 的 什 么 了 反 正 扫 码 可 以 关 注
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理