bilibili某内部接口设计不当可根据会员id任意登录（内部API文档泄露）

注：问题的源头是由于Gitlab开在外网上导致存于公开项目中的内部文档泄露，但该风险似乎已于近日被bilibili内部发现并修复（无法访问该私有Gitlab，80端口拒绝连接），本漏洞中是使用在其修复前获得的文档，根据其中获取到内网接口的地址和参数再配合不当设计或意外暴露于外网的内网接口完成

根据之前bilibili的源代码泄露漏洞（ WooYun: bilibili某站git服务配置不当，造成信息泄露 ）

可以得知其git服务使用域名syncsvn.bilibili.co，该域名解析到内网

同时发现类似的sync.bilibili.co域名指向外网，并且其上部署有Gitlab（在提交这个漏洞的时间点其80端口已拒绝链接，但如果把ip地址放到zoomeye上去查还是可以发现之前部署的是Gitlab）

虽然不知道Gitlab的账户但公开项目还是可以看的，主要是一些文档和一些前端项目，其中一些文档包含敏感内容泄露了内部使用的接口

其实问题到这里还不严重，单单泄露接口地址和使用方法还不足以造成威胁，因为毕竟接口在设计上还是有鉴权的，但问题处在某接口的实际实现上并没有像文档上所述那样的有鉴权，也许是因为是内网接口意外暴露在外网环境下的原因

根据泄露的文档“【内部】API接口使用手册.doc”

其中本是有签名的要求的，不知是否是因为设计上是内网接口所以就没有实现

其中有一个接口“登陆到指定用户控制面板”

抱着试试看的心态尝试了一下

http://passport.bilibili.com/intranet/acc/login?mid=1

居然正常返回数据了（我整个人都懵逼了

颤抖着把授权url复制到地址栏

bingo

登录站长帐号

1、Gitlab不要给普通用户开放建立公开项目的权限

2、Gitlab无特殊需要不要开在外网（至少Web不要）

3、内部接口要限制在内网访问

4、就算是内网接口也要鉴权哪怕是比较简单的，总比没有要好

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2016-03-26 09:51

厂商回复：

我都想要的内部API文档居然这么容易拿到了..快..发我一份~

最新状态：

暂无

1. 2016-03-26 10:13 | xsser ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)

   2

   什么心情

   1# 回复此人

2. 2016-03-26 13:41 | F4ther ( 实习白帽子 | Rank:42 漏洞数:13 | 有些人挖洞就是为了挖洞。仅此而已。)

   1

   github?

   2# 回复此人

3. 2016-03-26 13:48 | 端端 ( 普通白帽子 | Rank:261 漏洞数:31 | niconiconi~)

   1

   @F4ther 不

   3# 回复此人

4. 2016-03-26 14:24 | 从容 ( 普通白帽子 | Rank:415 漏洞数:99 | 哇啦啦啦啦啦 我的宝贝 | ..)

   1

   有点6

   4# 回复此人

5. 2016-05-12 10:10 | 浮世浮城 ( 普通白帽子 | Rank:825 漏洞数:146 | 我存于这俗世烟火的浮世，我爱这时光倒影的...)

   0

   思维缜密,肯定是个变态猥琐抠脚怪蜀黍

   5# 回复此人

6. 2016-05-12 10:45 | xtnnd ( 普通白帽子 | Rank:184 漏洞数:45 | t-safe)

   0

   菜的口角

   6# 回复此人