逻辑漏洞测试系列-水平越权漏洞

ivi

糖果 信安404 2024-03-06 20:16 天津

01测试场景

王老板找到你，称其网站似乎存在未知的问题，这个问题会导致部分人员的身份信息泄露，请你帮助寻找原因。他向你提供了登录账号（kebo）及其密码，请你获取账号（lucy）的个人信息。

测试案例

打开 HTTP抓包测试工具，打开内置浏览器，在浏览器中访问王老板提供的网站，加载后为登录界面：

输入给定的账号（kebo）和密码（123456），点击登录后进入个人信息中心：


点击 查看个人信息 则可以看到完整的信息：

分析可知，点击 查看个人信息 后会进入人员信息页面，如果有信息泄露，则可能是该请求可被修改导致，测试如下：

在HTTP抓包测试工具中，打开拦截开关，回到内置浏览器中，再次点击 查看个人信息：

发现请求信息中存在“username=kobe”，其中 kobe 为我们当前的账号，如果修改为被测试账号是否能获得对应的信息呢？

把“username=kobe”修改为“username=lucy”，然后点击放行。


点击放行后会返回一个响应数据，点击响应数据包中的页面浏览，可以看到已经返回了lucy的人员信息：


关闭拦截后回到内置浏览器查看：

[color=rgba(0, 0, 0, 0.9)]至此成功拿到被测试人员的信息，找到了王老板所说的问题原因。