首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    记一次有趣的逻辑漏洞挖洞经历

    前几天在网上冲浪的时候无意间看到了一个Edu的站点,是一个很常见的类似MOOC的那种在线学习系统,对外开放,同时有注册和登录功能。对于我这种常年低危的菜鸡来说,这是最愿意看到的,因为一个Web网站有了登录功能,就代表其网站必须要有权限划分,而有了权限划分,在这里的开发就容易出现很多问题,越权便是一种常见的问题。经过测试,发现这个站点就存在越权的问题,例如A账号可以通过发包更改B账号内的数据,但这些数据不是密码,个人信息等数据,而是平台上的评论,收藏,和点赞的数据。尽管这些数据或许不是那么敏感,危害听起来不大,但是也算是水平越权的一种了,因此最终这个漏洞提交EduSRC后被评为中危。接下来我将回到当初的视角,与大家一起复盘,分析这次挖洞经历。

    01

    记一次有趣的逻辑漏洞挖洞经历

    前几天在网上冲浪的时候无意间看到了一个Edu的站点,是一个很常见的类似MOOC的那种在线学习系统,对外开放,同时有注册和登录功能。对于我这种常年低危的菜鸡来说,这是最愿意看到的,因为一个Web网站有了登录功能,就代表其网站必须要有权限划分,而有了权限划分,在这里的开发就容易出现很多问题,越权便是一种常见的问题。经过测试,发现这个站点就存在越权的问题,例如A账号可以通过发包更改B账号内的数据,但这些数据不是密码,个人信息等数据,而是平台上的评论,收藏,和点赞的数据。尽管这些数据或许不是那么敏感,危害听起来不大,但是也算是水平越权的一种了,因此最终这个漏洞提交EduSRC后被评为中危。接下来我将回到当初的视角,与大家一起复盘,分析这次挖洞经历。

    01

    美专家称奥巴马政府医改网站有漏洞,易受黑客攻击

    据外媒报道,一些美国网络安全专家警告称,经过他们近3个月的观察,美国政府未能修复新医保“健保交易所”的安全漏洞,该网站极易受到黑客攻击。   美国一家计算机安全咨询公司的负责人大卫·肯尼迪15日表示,政府部门仍未修复奥巴马医保网站的近20个漏洞,他和其他专家在去年10月网站上线以后,曾就此报告过有关政府部门。   肯尼迪说,黑客可以利用这些网站漏洞,窃取用户身份信息,还可以随意更改数据,攻击他人的电脑。不仅如此,网站也很容易因此而瘫痪。   作为新医保网站的监管单位,美国医疗保健和医疗补助服务中心发出了一

    05
    领券