来Track安全社区投稿~
千元稿费！还有保底奖励~（https://bbs.zkaq.cn）
某985学生就业信息网接口泄露敏感信息泄露
漏洞发现
看见这种硬核985网站只能burp翻接口
img点击到搜索岗位的页面com_id这个参数好像是代表每一个发布职位的人（接下来有用）
img一共有5w条
img
点进发现页面只有投递邮箱，没有其他发布职位人的信息。
img
再翻阅burp包，id实际上就是com_id
img在这个请求包中可以看见发布职位人的电话！这个是在页面上面没有的
img另外一个数据包则更全、发布人姓名、电话、邮箱。
img
img成功拿下5w条敏感信息、只需要替换com_id则可以查询
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
原文始发于微信公众号（掌控安全EDU）：edu实战 - 就业信息系统接口泄露敏感信息泄露
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论