警告

本案例中所有内容均已授权上报,不会公开详细EXP代码,该案例仅供学习。

一张二维码引发的信息泄露

从该截图中获取到的信息

• 输入的身份证号(怎么会发生身份证泄露呢?)

• 可扫描的二维码

• 缴费

进入站点

无从入手先抓包

测试第一个数据包发现,传输的sfz号码使用的是BASE64加密,根据访问的文件checkLogin猜测该接口是验证登录状态的

第二个数据包,暂且不知道什么,pass掉

第三个数据包,出现了billId字段

服务器返回了敏感数据,通过base64解密loginInfo字段发现存在身份证号泄露

漏洞验证

注意:本次测试将获取不超过五条数据,进行验证漏洞

猜测泄露数据总量大概在10w+人(该测试组织至少泄露3k人以上),测试到此结束,上报漏洞

总结报告

问题

• 前端并没有采用验证码方式防止重复提交数据

• 未授权访问

• 学生可以任意提交评论,有存在存储型XSS风险

• 未加密传输数据

根据DREAD威胁评级模型给出相应风险等级

D(2)+R(3)+E(3)+A(2)+D(3)=13

高危

原文地址: https://www.freebuf.com/articles/web/373162.html

原文始发于微信公众号（白帽子左一）：[渗透测试实战]某高校支付系统存在水平越权获取身份证号码问题