实战:一次Src越权漏洞挖掘
2023-12-30 22:11:24 Author: mp.weixin.qq.com(查看原文) 阅读量:38 收藏

No.0

前言

无需登录就可以获取****申请信息,包括但不限真实姓名,手机号,简历,公司等铭感信息。可通过遍历获取所有已申请用户的敏感信息(几千条)

发现上万条企业信息泄露,请见文章最后步骤7,(可以批量申请加入企业,对审核人员造成负担)

No.1

实战经过-未授权

发现方式

1. 浏览器打开url

2. 使用burp工具抓取请求数据包,发现有请求列表的数据包,可以获取申请列表信息

3. 登录一个正常账号,尝试申请一个企业

4. 用浏览器抓取查看详情数据包。发现铭文的铭感数据,真实姓名,联系方式,简历链接等

5. 尝试用burp构建请求包。发现可以获取到明文的敏感信息

6. 尝试替换请求包中的ApplyId,可以用步骤2中的返回包里的Id值进行替换

可以通过遍历id进行恶意获取信息。

(这里仅测试3条数据)

(没有cookie也可以请求成功)

No.2

实战经过-任意用户登录

某SRC小程序存在任意用户登录漏洞

点击某小程序后,点击同意的瞬间开启抓包

在{}中随意填上code值

拦截返回包并来到修改返回包步骤

mobile处填写想要登录的手机号,点击放包

发现已经返回code值了,不做修改继续放包

继续放包

此时返回小程序发现已经登录成功,且该账户的任何功能都可以,信息都可以查看,成功接管

如果你是一个长期主义者,欢迎加入我的知识星球(优先查看这个链接,里面可能还有优惠券),我们一起往前走,每日都会更新,精细化运营,微信识别二维码付费即可加入,如不满意,72 小时内可在 App 内无条件自助退款

往期回顾

xss研究笔记

SSRF研究笔记

dom-xss精选文章

2022年度精选文章

Nuclei权威指南-如何躺赚

漏洞赏金猎人系列-如何测试设置功能IV

漏洞赏金猎人系列-如何测试注册功能以及相关Tips


文章来源: https://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247493186&idx=1&sn=229273f92424993671a59a48243fc507&chksm=e8a5ec21dfd2653751cd7f466e81da710672b6b534448f916614f0d402ba4dbad21b429c4450&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh