漏洞

前言 入行漏洞挖掘以来，终于成功提交并通过审核第一个正式漏洞，记录下这次完整挖洞全过程，也算是给自己网络安全学习之路留下一份纪念。 漏洞基础信息 关联厂商：杭州鼎文国际学校 漏洞编号：QTVA-2026-10612190 漏洞类型：信息泄露 官方评级：中危 漏洞发现过程 日常使用FOFA进行资产测绘搜集站点资产，成功捕获到该校一体化校园管理平台地址： https://pr.dingwenacademy.com/login?redirect=%2Fdashboard 进入登录页面后常规查看前端源码与静态JS文件，在页面加载的JS资源中： https://pr.dingwenacademy.com/static/js/app.ac0b7b5b.js 这种网页一般都是前后端分离的架构，提升了用户体验不假，但是容易出现api未授权访问 搜索关键字“api”，发现暴露了后端大量业务API接口地址，逐一筛选测试接口可用性。 漏洞核心问题 发现/api/student/selectAllBy, /api/student/selectDocBy, /api/source/getSelect, /api/source/getSelectByUser 暴露大量人员信息，包含姓名，邮箱，用户名 /api/student/selectAllBy这个接口暴露微信wxpass、人员唯一ID 等核心隐私数据。 多组未授权接口组合利用，可批量抓取学校师资、生源、部门配置、业务资源等内部数据，极易造成校内人员信息批量外泄，存在隐私泄露与后续社工攻击风险。 漏洞详情总结 平台后端整站API接口设计存在严重权限管控缺失，前端JS明文批量泄露接口路径，后台未统一做登录态校验。 公开查询类数据接口全部放任外网无权限人员任意调用，大范围触发信息泄露风险。 安全修复方案 统一对站点所有 /api/* 路由接口增设全局请求拦截器 强制校验请求头内 Authorization: Bearer 有效登录令牌 未携带合法身份凭证直接拦截拒绝访问，禁止匿名访问业务数据接口 梳理前端JS文件，清理明文暴露的后端敏感API地址，减少接口信息泄露 区分普通访客与登录用户权限，严格划分数据查询访问权限 逐个排查全站业务接口，修复其余同类未授权访问漏洞 厂商反馈 目前该漏洞已正式收录定级，暂未收到厂商正式整改留言与修复回复，等待校方完成安全整改加固。 挖洞心得 这是我正式提交并审核通过的第一个实战漏洞，也真切体会到信息搜集、JS源码审计、接口遍历测试在日常挖洞中实用性极强。 本次也发现该校园管理平台存在批量接口权限漏洞，只是优先提交了危害最直观的用户信息泄露接口。后续继续深耕Web漏洞挖掘，从未授权、越权、信息泄露这类基础漏洞入手，稳步积累实战经验。