不受限制的资源调用漏洞挖掘思路

0x00 前言

本文介绍一种SRC挖掘中的特殊思路：不受限制的资源调用漏洞。这种漏洞类型主要针对那些调用第三方付费API但自身未做严格限制的系统。

0x01 漏洞场景

以某厂商云服务购买页面为例，需要用户输入：

• 姓名
• 身份证号
• 联系电话

传统测试思路可能关注：

• SQL注入
• XSS
• 越权查看他人信息
• CSRF

但本文关注的是资源调用层面的问题。

0x02 漏洞测试步骤

1. 初始测试：

   • 输入真实姓名+身份证号
   • 修改身份证号最后一位（如7改为5）提交
   • 观察前端提示"需要输入正确的身份证号码"
   • 确认Burp无数据包请求 → 前端校验

2. 前端分析：

   • 在JS文件中找到校验规则
   • 校验不通过返回false阻止提交
   • console可看到校验结果

3. 绕过前端校验：

   • 输入正确的姓名和身份证号组合
   • 提交后Burp捕获到数据包
   • 修改数据包中的身份证号（如将6改为5）
   • 后端返回"身份证验证错误"

0x03 原理剖析

身份证验证流程

个人/企业开发者 → 腾讯/阿里/百度等企业API → 上层权威机构

关键点：

• 个人/企业无法直接调用最上层机构接口
• 必须通过大企业提供的API
• 这些API调用是收费服务

成本分析

• 直系应用申请二要素验证通常免费
• 个人/企业调用需付费
• 市场价格较高（示例中未给出具体数字但暗示成本显著）

0x04 漏洞利用

社工场景利用

1. 已知目标姓名
2. 未知身份证后几位
3. 利用未做限制的接口进行爆破：
   • 设置后四位为0000-9999
   • 根据返回包长度/内容判断有效性

其他可能利用点

• 短信验证接口
• 活人检测接口
• 其他付费API调用

0x05 防御建议

1. 对API调用实施严格限制：

   • 频率限制
   • 总量限制
   • 权限控制

2. 前端校验不可替代后端校验，但两者都需完善

3. 对敏感操作增加二次验证

4. 监控异常API调用模式

0x06 总结

这种漏洞本质是未授权/未限制的付费资源调用，攻击者可利用它：

• 消耗厂商资源（造成经济损失）
• 获取敏感信息（如验证身份证真实性）
• 进行其他恶意操作

在SRC挖掘中应特别关注涉及第三方付费API调用的功能点。