搜索

[2167] 2020-10-06_某平台企业登录越权查看大量员工信息

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2020-10-06_某平台企业登录越权查看大量员工信息 某 平 台 企 业 登 录 越 权 查 看 大 量 员 工 信 息 原 创   无 剧   E D I 安 全   2 0 2 0 - 1 0 - 0 6 收 录 于 话 题   # 白 帽 之 旅   , 3 1 个 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 0 1 漏 洞 标 题 服 务 公 共 平 台 企 业 登 录 查 看 员 工 信 息 时 可 越 权 查 看 大 量 员 工 信 息 0 2 漏 洞 类 型 信 息 泄 露 0 3 漏 洞 等 级 严 重 0 4 漏 洞 地 址 h t t p : / / x x x . c o m / e r . a p p . x x x / a p p s . h t m l 0 5 漏 洞 复 现 注 册 企 业 账 号   c e s h i a a a   / c e s h i 1 2 3 注 册 家 政 账 户 后 ， 登 录 ： h t t p : / / x x x . c o m / e r . a p p . x x x / a p p s . h t m l 0 x 0 1
基 本 资 料 - 服 务 人 员 管 理 - 查 看 人 员 信 息 时 遍 历 i d 值 即 查 看 系 统 中 所 有 人 员 的 信 息 h t t p : / / x x x . c o m / e r . a p p . x x / r e s t / m n g / o r g / w o r k e r / c a t e g o r y / 0 / g e t W o r k e r B y I d ? i d = 3 9 1 9 3 4 & o r g I d = 1 2 8 4 & c = 1 5 9 5 4 5 7 5 5 3 5 9 9 而 且 有 的 人 员 信 息 中 包 含 了 地 址 信 息 ： 0 x 0 2
这 个 地 址 信 息 是 授 权 书 ， 包 含 了 详 细 的 身 份 证 号 ， 可 以 直 接 未 授 权 访 问 ： h t t p : / / x x x . c o m / i m a g e _ x x x t _ c o m / x x x / u p i c s / g r o u p 1 / M 0 0 / 0 0 / 7 E / w K g A b l 1 k p B K A P G 7 D A A M r F z f 2 Q i w 8 2 5 . j p g h t t p : / / x x x x . c o m / i m a g e x x x x _ c o m / x x x / u p i c s / g r o u p 1 / M 0 0 / 0 0 / 5 E / w K g A b l 1 j o N G A H H l Q A A O 4 j c e L N o Q 3 2 5 . j p g 0 x 0 3
还 有 的 地 址 信 息 家 政 服 务 协 议 ： 包 含 了 所 有 的 详 细 的 个 人 信 息 h t t p : / / x x x . c o m / i m a g e _ x x x _ c o m / x x x / u p i c s / g r o u p 1 / M 0 0 / 0 0 / C F / w K g A b l 1 m K f S A U 9 S b A A n x M 4 B K V k A 7 7 0 . j p g
注 明 ： 此 接 口 可 以 查 看 整 个 系 统 中 大 量 个 人 信 息 0 6 漏 洞 危 害 通 过 遍 历 i d 参 数 全 局 越 权 查 看 整 个 系 统 中 所 有 已 注 册 用 户 的 个 人 信 息 ， 这 样 就 可 以 定 向 的 进 行 诈 骗 或 者 是 其 他 的 信 息 贩 卖 等 。 0 7 建 议 措 施 做 好 权 限 的 控 制 ， 建 议 添 加 t o k e n 。 P S ： 本 文 仅 用 于 技 术 讨 论 与 分 析 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 ： 本 文 仅 用 于 技 术 讨 论 与 分 析 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 。 E D I 安 全 安 全
一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理