前言

让我们开始了解我是如何发现导致敏感信息泄露的 API 配置错误的。

设想

这个问题还没有解决，所以我不能透露那个程序的名字。

假设该程序为 https://redacted.com。

Web 应用程序是关于基于团队的组织，那里也有 api 相关的东西。我试图找到 XSS、SQLi、idors，但没有任何效果。

然后我转到 https://YourDomain.redacted.com 有一些组织类型功能，我可以在其中添加或删除其他用户。

添加一些用户后，有一个组织数字 ID 引起了我的注意。

我创建了另一个帐户并尝试添加/删除具有该组织 ID 的帐户用户，但没有任何反应。

在那之后我想我应该放弃并改变我的目标，但是在https://testapp.redacted.com /# /organization/1111( org_id ) 中有一个 api 端点正在获取我的个人详细信息，比如我的电子邮件、ip 地址、姓名、2FA 号码、访问令牌、上次登录和注销信息、帐户创建信息、我在组织中的角色以及更多内容。

我首先想到的是如果我可以从不同的帐户访问或查看这些敏感信息。

我邀请了另一位只能查看角色的成员。通常只查看成员甚至不能看到其他成员。

我使用该仅供查看的会员帐户访问了

https://testapp.redacted.com/#/organization/1111 。

Boom，发现敏感信息泄露

由于 api 配置错误，我能够看到添加到该组织的所有用户的所有敏感信息。

我能够看到所有用户的个人详细信息，如其他用户的电子邮件、IP 地址、姓名、2FA 号码、访问令牌、上次登录和注销信息、帐户创建信息、其他用户在组织中的角色等等。

步骤重现：

1.访问https://redacted.com并以管理员身份登录

2.添加一些具有View-only member permission 权限的用户。

3.以这些会员帐户中的任何一个登录。

4.导航到https://testapp.redacted.com/#/organization/ {{org id}}

能够泄露所有用户的敏感信息。

我做了一个详细的报告和视频 poc 然后将问题提交给程序

漏洞报告

2022 年 2 月 4 日报告

2022 年 2 月 7 日

他们在当天给了我 750 美元的赏金

TIPS

如果有 API 端点，请始终对您的 Cookie 进行模糊测试。

永远不要失去希望，要坚持。

原文来自「HACK学习呀」｜侵删

中电运行是专业专注培养能源企业IT工匠和提供IT整体解决方案的服务商，也是能源互联网安全专家。我们每天都会分享各种IT相关内容，如果您有任何关于IT疑问，欢迎给我们留言。

●小白必读！寰宇卫士手把手教你栈溢出（上）

●手把手教你栈溢出（中）

●手把手教你栈溢出（下）

●《信息安全知识》之法律关键常识汇总

●CTF经验分享|带你入门带你飞！

原文始发于微信公众号（寰宇卫士）：实战 | 记一次通过api泄露敏感信息获得的750 美元漏洞赏金