隐患藏在校园小程序：一条请求越权篡改他人报修数据

1.1 什么是水平越权？

水平越权，简单来说就是：同级用户之间可以互相访问对方的数据。

举个例子：用户A和用户B都是普通学生，权限相同。正常情况下，A只能看自己的维修单，B只能看自己的。但如果系统只校验了“你是否是登录用户”，却没有校验“这个维修单是不是你的”，那么A通过修改维修单ID，就能看到B的工单信息——这就是水平越权。

1.2 本次测试思路

核心逻辑：维修单详情接口通过URL中的id参数来查询数据，但服务端未对该参数的归属权进行校验，导致可通过枚举ID值访问其他用户的工单。

验证策略：使用两个测试账号分别创建工单，然后交叉访问对方工单ID，验证是否可获取数据。

2.1 微信小程序搜索某报修系统

2.2 创建两个账号，每个账号都创建一个维修单，可以看到两个维修单的id

2.3 第一个账号点击撤单，将id改为第二单的id

2.4 账号1报修单没有被删除

2.5 账号2的报修单被删除了

3.1 核心问题

服务端在处理维修单详情查询请求时，仅校验了用户是否登录（身份认证），未校验当前用户是否有权限访问目标工单（数据归属校验）。攻击者通过枚举或猜测工单ID，即可获取其他用户的工单详情。

3.2 危害分析

（1）个人信息泄露：报修人姓名、电话号码、具体住址等敏感信息可被任意查看

（2）隐私侵害：维修工单包含用户的生活轨迹和物品信息，存在被恶意收集利用的风险

（3）连锁风险：若其他接口存在类似问题，可能导致更大范围的数据泄露

3.3 修复建议

（1）服务端增加数据归属校验：在处理工单详情请求时，验证当前登录用户是否是该工单的创建者或具有查看权限

（2）避免使用可枚举的ID：工单ID建议使用UUID等不可预测的标识符，而非连续数字

（3）统一权限校验中间件：在所有数据访问接口中统一调用权限校验逻辑，避免遗漏

（4）修复后回归测试：确认修复方案有效且未引入新问题

3.4 测试心得

（1）越权漏洞的发现关键在于“换位思考”：登录不同账号，交叉访问对方的数据接口，是最直接有效的检测方式

（2）记录测试过程至关重要：边测试边截图，保留完整的请求包和响应包，便于后续报告撰写和漏洞复现

（3）风险等级评估要结合实际：虽然是低危漏洞，但涉及个人隐私信息泄露，需引起足够重视

（4）合规操作不可忘：所有测试需在授权范围内进行，获取的数据不超过必要条数，测试完成后及时上报

本文内容仅用于安全技术研究与授权渗透测试场景，所有测试操作均已获得目标单位授权。严禁将文中技术用于非法攻击活动。漏洞修复建议仅供参考，具体实施方案请结合业务实际进行评估