https://lewis1766.github.io/tags/%E6%BC%8F%E6%B4%9E/ Recent content in 漏洞 on Lewis 的博客 Hugo zh Mon, 04 May 2026 21:54:33 +0800 https://lewis1766.github.io/posts/20260504/20260504/ Mon, 04 May 2026 21:54:33 +0800 https://lewis1766.github.io/posts/20260504/20260504/ <h2 id="前言">前言</h2> <p>入行漏洞挖掘以来，终于成功提交并通过审核第一个正式漏洞，记录下这次完整挖洞全过程，也算是给自己网络安全学习之路留下一份纪念。</p> <h2 id="漏洞基础信息">漏洞基础信息</h2> <ul> <li>关联厂商：杭州鼎文国际学校</li> <li>漏洞编号：QTVA-2026-10612190</li> <li>漏洞类型：信息泄露</li> <li>官方评级：中危</li> </ul> <h2 id="漏洞发现过程">漏洞发现过程</h2> <p>日常使用FOFA进行资产测绘搜集站点资产，成功捕获到该校一体化校园管理平台地址： <code>https://pr.dingwenacademy.com/login?redirect=%2Fdashboard</code></p> <p>进入登录页面后常规查看前端源码与静态JS文件，在页面加载的JS资源中： <code>https://pr.dingwenacademy.com/static/js/app.ac0b7b5b.js</code> 这种网页一般都是前后端分离的架构，提升了用户体验不假，但是容易出现api未授权访问 搜索关键字“api”，发现暴露了后端大量业务API接口地址，逐一筛选测试接口可用性。 <img alt="js" loading="lazy" src="https://lewis1766.github.io/images/js.png"></p> <h2 id="漏洞核心问题">漏洞核心问题</h2> <p>发现/api/student/selectAllBy, /api/student/selectDocBy, /api/source/getSelect, /api/source/getSelectByUser 暴露大量人员信息，包含姓名，邮箱，用户名 <img alt="leak" loading="lazy" src="https://lewis1766.github.io/images/leak.jpg"></p> <p>/api/student/selectAllBy这个接口暴露微信wxpass、人员唯一ID 等核心隐私数据。 <img alt="leak2" loading="lazy" src="https://lewis1766.github.io/images/leak2.jpg"></p> <p>多组未授权接口组合利用，可批量抓取学校师资、生源、部门配置、业务资源等内部数据，极易造成校内人员信息批量外泄，存在隐私泄露与后续社工攻击风险。</p> <h2 id="漏洞详情总结">漏洞详情总结</h2> <p>平台后端整站API接口设计存在严重权限管控缺失，前端JS明文批量泄露接口路径，后台未统一做登录态校验。 公开查询类数据接口全部放任外网无权限人员任意调用，大范围触发信息泄露风险。</p> <h2 id="安全修复方案">安全修复方案</h2> <ol> <li>统一对站点所有 <code>/api/*</code> 路由接口增设全局请求拦截器</li> <li>强制校验请求头内 <code>Authorization: Bearer</code> 有效登录令牌</li> <li>未携带合法身份凭证直接拦截拒绝访问，禁止匿名访问业务数据接口</li> <li>梳理前端JS文件，清理明文暴露的后端敏感API地址，减少接口信息泄露</li> <li>区分普通访客与登录用户权限，严格划分数据查询访问权限</li> <li>逐个排查全站业务接口，修复其余同类未授权访问漏洞</li> </ol> <h2 id="厂商反馈">厂商反馈</h2> <p>目前该漏洞已正式收录定级，暂未收到厂商正式整改留言与修复回复，等待校方完成安全整改加固。</p> <h2 id="挖洞心得">挖洞心得</h2> <p>这是我正式提交并审核通过的第一个实战漏洞，也真切体会到信息搜集、JS源码审计、接口遍历测试在日常挖洞中实用性极强。</p> <p>本次也发现该校园管理平台存在批量接口权限漏洞，只是优先提交了危害最直观的用户信息泄露接口。后续继续深耕Web漏洞挖掘，从未授权、越权、信息泄露这类基础漏洞入手，稳步积累实战经验。</p>