某公共平台个人信息查看处存在全局越权修改 - Kirin博客

某公共平台个人信息查看处存在全局越权修改

作者: Bee

全网最全的网络资源分享网站

标签:

漏洞渗透

特别声明:部分文章为网络转载,资源使用一般不提供任何帮助,特殊资源除外,如有侵权请联系站长!请勿违法!本站文章仅供学习了解!技术无罪!

流量卡广告 Kirin影视 联系站长QQ

01

漏洞标题

某公共平台个人信息查看处存在全局越权修改

02

漏洞类型

越权漏洞

03

漏洞等级

高危

04

漏洞地址

http://xxx.xxx.xx.com/er.app.xxxx/apps.html

05

漏洞详情


0x01

注册家政账户后,登录:

http://xxx.xxx.xx.com/er.app.xxxx/apps.html

这个是账户A:ceshi   www的个人信息 id=275



这个是账户B:ceshi123   天天的个人信息 id=274



然后在账户A下越权修改B账户的个人信息:



0x02

然后burp下抓包,替换uld参数,将其改成B账户的274



然后到B账户下查看个人信息:



发现B账户中的个人信息被成功越权修改了

这里uld参数是可以遍历的,所以可以直接越权修改所有已注册用户的个人敏感信息:

06

漏洞危害

通过遍历id参数全局越权修改所有已注册用户的个人信息,这样就可以定向的进行诈骗或者是其他的信息贩卖等。

07

建议措施

做好权限的控制,建议添加token。


PS:本文仅用于技术讨论与分析,严禁用于任何非法用途,违者后果自负
分享到:
加入交流群
未经允许不得转载:

作者: Bee, 转载或复制请以 超链接形式 并注明出处 Kirin博客
原文地址: 《某公共平台个人信息查看处存在全局越权修改》 发布于2020-12-3

切换注册

登录

您也可以使用第三方帐号快捷登录

切换登录

注册

觉得文章有用就加入交流群吧

QQ扫一扫