某专属厂商逻辑漏洞挖掘实战教学

漏洞背景

本文档基于对某专属厂商系统的逻辑漏洞挖掘过程，详细记录了从信息收集到漏洞发现的全流程，包含两个关键逻辑漏洞：任意密码重置和越权访问。

信息收集阶段

1. 子域名收集

   • 使用OneForAll工具对目标厂商域名进行子域名收集
   • 发现一个登录页面子域名作为突破口

2. 初步测试

   • 发现登录口无验证码保护
   • 使用字典进行爆破尝试，获得几个有效用户名：test、lc等
   • 爆破未获得有效密码，但为后续利用提供了用户名基础

漏洞一：任意密码重置

漏洞发现过程

1. 定位功能点

   • 发现系统中的"忘记密码"功能
   • 功能流程：输入手机号 → 发送验证码 → 验证 → 重置密码

2. 手机号枚举

   • 尝试输入爆破获得的用户名 → 无法发送验证码
   • 尝试输入自己的手机号 → 无法发送验证码
   • 尝试常见测试手机号(13333333333、13888888888等) → 13333333333成功发送验证码

3. 验证码长度控制漏洞

   • 观察请求数据包，发现length参数控制验证码长度(默认6位)
   • 修改length=1重新发送请求 → 成功
   • 通过依次尝试0-9猜测验证码 → 输入"0"成功进入重置密码页面

4. 实际利用

   • 成功重置13333333333手机号关联账户的密码
   • 使用新密码成功登录系统

漏洞原理分析

• 系统未对手机号进行有效验证，允许测试账户存在
• 验证码长度由客户端可控，可被修改为1位，极大降低爆破难度
• 系统未实施验证码尝试次数限制

漏洞二：越权访问

漏洞发现过程

1. 登录后观察

   • 登录后进入用户后台
   • 查看"客户列表"功能，初始显示无数据

2. 参数分析

   • 抓包发现owner参数控制数据归属(值为当前用户ID)
   • 尝试修改为已知用户名(test、lc等) → 无数据返回
   • 尝试将owner参数置空 → 成功获取20万条客户数据

漏洞原理分析

• 后端未对数据归属进行严格校验
• 参数置空时，系统默认返回全部数据而非报错
• 缺乏权限控制机制，普通用户可访问系统全部数据

漏洞修复建议

1. 密码重置功能修复

   • 验证码长度应由服务端固定，不可由客户端控制
   • 实施验证码尝试次数限制(如5次错误后锁定)
   • 移除测试账户或限制测试账户功能
   • 增加图形验证码作为辅助验证

2. 越权访问修复

   • 实施严格的权限校验机制
   • 参数为空时应返回错误而非全部数据
   • 采用最小权限原则，默认拒绝所有请求
   • 实现基于角色的访问控制(RBAC)

渗透测试方法论总结

1. 信息收集是关键

   • 子域名枚举往往能发现测试系统或边缘系统
   • 用户名枚举为后续攻击提供基础

2. 功能点深度测试

   • 密码重置、注册等辅助功能常存在逻辑漏洞
   • 关注所有客户端可控参数

3. 边界条件测试

   • 测试参数为空、极值等特殊情况
   • 尝试绕过常规校验流程

4. 数据包分析

   • 所有请求参数都应被审查
   • 关注可能影响业务逻辑的参数

本案例展示了逻辑漏洞挖掘的典型思路，通过系统性地测试和参数分析，发现了高危漏洞。渗透测试人员应培养对业务逻辑的敏感度，善于发现设计缺陷。