某公共平台个人信息查看处存在全局越权修改

文章来源： EDI安全

01

漏洞标题

某公共平台个人信息查看处存在全局越权修改

02

漏洞类型

越权漏洞

03

漏洞等级

高危

04

漏洞地址

http://xxx.xxx.xx.com/er.app.xxxx/apps.html

05

漏洞详情

0x01

注册家政账户后，登录：

http://xxx.xxx.xx.com/er.app.xxxx/apps.html

这个是账户A：ceshi   www的个人信息 id=275

这个是账户B：ceshi123   天天的个人信息 id=274

然后在账户A下越权修改B账户的个人信息：

0x02

然后burp下抓包，替换uld参数，将其改成B账户的274

然后到B账户下查看个人信息：

发现B账户中的个人信息被成功越权修改了

这里uld参数是可以遍历的，所以可以直接越权修改所有已注册用户的个人敏感信息：

06

漏洞危害

通过遍历id参数全局越权修改所有已注册用户的个人信息，这样就可以定向的进行诈骗或者是其他的信息贩卖等。

07

建议措施

做好权限的控制，建议添加token。

PS：本文仅用于技术讨论与分析，严禁用于任何非法用途，违者后果自负。