搜索

[2212] 2020-11-26_某公共平台个人信息查看处存在全局越权查看

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2020-11-26_某公共平台个人信息查看处存在全局越权查看 某 公 共 平 台 个 人 信 息 查 看 处 存 在 全 局 越 权 查 看 原 创   纯 钧   E D I 安 全   2 0 2 0 - 1 1 - 2 6 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 0 1 漏 洞 标 题 某 公 共 平 台 个 人 信 息 查 看 处 存 在 全 局 越 权 查 看 0 2 漏 洞 类 型 越 权 漏 洞 0 3 漏 洞 等 级 高 危 0 4 漏 洞 地 址 h t t p : / / x x x . x x x x x x x x . c o m / e r . a p p . x x x x x x / a p p s . h t m l 0 5 漏 洞 详 情 先 注 册 一 个 账 户       测 试 账 户 是 c e s h i     c e s h i 1 2 3 0 x 0 1 h t t p : / / x x . g x x x x x x y . c o m / e r . a p p . x x x x x / r e s t / w e b s i t e / i n d e x . h t m l
注 册 家 政 账 户 后 ， 登 录 ： h t t p : / / x x x . x x x x x x . c o m / e r . a p p . x x x x x / a p p s . h t m l 查 看 个 人 信 息 时 b u r p 下 登 录 抓 包 ， 正 常 返 回 用 户 的 注 册 信 息 ， 包 括 姓 名 ， 手 机 号 ， 身 份 证 等 敏 感 信 息 ： 0 x 0 2
这 里 i d 参 数 是 可 以 遍 历 的 ， 可 以 越 权 查 看 所 有 已 注 册 用 户 的 个 人 敏 感 信 息 ： 返 回 的 信 息 没 有 做 任 何 脱 敏 ， 而 且 包 含 完 整 的 用 户 个 人 信 息 ， 还 是 比 较 严 重 的 。 0 6 漏 洞 危 害 通 过 遍 历 i d 参 数 全 局 越 权 查 看 所 有 已 注 册 用 户 的 个 人 信 息 ， 这 样 就 可 以 定 向 的 进 行 诈 骗 或 者 是 其 他 的 信 息 贩 卖 等 。 h t t p : / / x x . x x x x x x x x . c o m / e r . a p p . x x x x x x / r e s t / m n g / w o r k e r / i n f o s / g e t W o r k e r I n f o B y I d ? c = 1 5 9 5 4 4 7 6 9 4 7 0 2 & o r g I d = & i d = 2 7 4
0 7 建 议 措 施 做 好 权 限 的 控 制 ， 建 议 添 加 t o k e n 。 P S ： 本 文 仅 用 于 技 术 讨 论 与 分 析 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 ： 本 文 仅 用 于 技 术 讨 论 与 分 析 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 。 E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理