搜索

[29128] 2021-08-21_【渗透测试】联合国IDOR漏洞报告

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-08-21_【渗透测试】联合国IDOR漏洞报告 【 渗 透 测 试 】 联 合 国   I D O R   漏 洞 报 告 O t s 安 全   2 0 2 1 - 0 8 - 2 1 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 这 是 我 在 联 合 国 门 户 网 站 上 找 到 的 关 于   I D O R   漏 洞 的 文 章 。 我 选 择 了 我 的 目 标 联 合 国 ， 并 从 侦 察 开 始 并 列 举 了 所 有 的 子 域 。 将 目 标 选 择 为 i d e a s . u n i t e . u n . o r g   后 ， 我 能 够 找 到 注 册 和 登 录 页 面 ， 并 尝 试 探 索 不 同 的 攻 击 媒 介 。 我 很 快 注 册 了 两 个 不 同 的 帐 户 并 在 不 同 的 端 点 上 进 行 了 测 试 。 我 观 察 到 这 些 帐 户 在 对 帐 户 进 行 任 何 更 改 时 传 递 了 各 自 的 唯 一 帐 户   I D ， 这 很 容 易 被 猜 到 。 所 以 我 决 定 将 帐 户   u s e r I d   与 另 一 个 帐 户   I D   交 换 并 发 送 请 求 。 我 可 以 成 功 执 行   I D O R   漏 洞 。 通 过 利 用 此 漏 洞 ， 我 尝 试 更 改 其 他 用 户 的 语 言 ， 并 且 对 我 有 用

在 拦 截 修 改 帐 户 详 细 信 息 端 点 的 请 求 时 ， P O S T   数 据 上 的   u s e r I d   可 以 被 其 他 用 户   i d   篡 改 。 因 此 ， 有 了 这 个 ， 我 就 能 够 成 功 执 行   I D O R   攻 击 并 能 够 修 改 任 何 其 他 用 户 帐 户 详 细 信 息 。 在 这 种 情 况 下 ， 我 更 改 了 其 他 用 户 的 语 言 。
成 功 利 用   I D O R   漏 洞 导 致 修 改 其 他 用 户 详 细 信 息 。 在 向 联 合 国 安 全 小 组 报 告 这 个 问 题 时 ， 我 第 二 次 在 他 们 的 名 人 堂 页 面 上 得 到 承 认
参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 2 2 3 5 0 0 . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理