网站安全测试之越权漏洞对业务系统的正常运转影响

首先，我们需要收集客户的信息。 我司赛纳安全技术与甲方网站维护人员沟通，确定该网站采用PHP语言（二次开发系统），数据库类型为Mysql，所使用的服务器为购买的。 香港阿里云ECS采用内网传输作为数据库，使用RDS数据库实例作为整个网站APP的运行环境。 在对客户有了一定的了解后，客户提供了网站的会员账号和密码，我们模拟攻击者的黑匣子方法来测试当前网站的漏洞。 客户登录网站后，拥有交易系统功能，利用区块链和虚拟货币在金融网站上进行币币交易，包括币币兑换、币币转账、提币等。 币冲币包括去中心化、平台与虚拟货币交易所之间的安全通信、第三方API接口，这意味着客户的币在链上，可以直接在交易所进行公开交易。 资金安全非常重要。 只要出现一点安全隐患，损失就可能达到数十万甚至上百万，但幸运的是，客户只是泄露了用户信息。 针对这种情况，我们推出了全面的手动渗透测试。

首先，我们在用户测试中进行漏洞检测。 下面我们简单介绍一下什么是未授权漏洞。 该漏洞一般发生在网站前端与用户交互时，包括通过get.post进行数据传输时。 和其他方法。 如果传输过程中没有对用户当前账号的权限进行安全判断，就会导致修改数据包查看其他用户的部分信息，绕过权限检查，直接查看任意用户的信息，包括用户的账号、注册手机号码、身份认证等信息。 接下来我们进行实际操作，登录网站，查看用户信息，发现链接采用了这种形式，如下：/user/58。 上述URL的最后一个值为58，它对应于我们当前登录的帐户。 ，也是ID值，=58，也就是说我自己的账号是ID58。 如果我修改后一个值并打开访问，如果出现其他用户的账户信息，那么这是一个未经授权的漏洞。 /user/60，打开它，我们发现一个问题，它直接显示手机号码、用户名，以及实名认证的身份证号码和姓名。 这是一个裸网站漏洞！ 这安全意识也太淡薄了。

用户信息查看存在覆盖漏洞。 原因是网站没有对用户信息查看功能的权限和账户的权限进行判断。 这样就可以查看任意用户ID的信息，如下图：

漏洞是显而易见的。 这是用户信息泄露的主要原因。 我们还在测试用户注册的账户中发现了用户信息泄露漏洞。 我们捕获了 POST 并将其发送到用户注册界面。 我们可以看到数据包中包含 ，我们在渗透测试中将ID值改为61，然后服务器后端返回的信息提示用户已经存在，并携带ID=61的用户信息，包括姓名、电子邮件地址、钱包地址和其他隐私信息。 信息，如下返回的200状态码所示：