【网络安全】PII：接口未授权访问敏感数据

未经许可，不得转载。

目标：example.com

正文

查看订单接口：/api/order?orderid=<order_id>，其中 <order_id> 为数字字符串。尽管我尝试增大和减小几个数字进行并发请求，服务器仍返回了 403。

随后，我发现了另一个接口：

example.com/api/email/<order_id>?emailName=partiallyRegistered&language=en&country=US

该接口返回一个 HTML 文件，包括姓名、地址、电子邮件、电话号码和付款详细信息。同样，我尝试增大和减小几个数字进行并发请求，但服务器依然返回 403。

在尝试了 SQL 注入后，我遭遇了 WAF 的阻拦。最终，我决定删除 Cookie 并重新访问，竟然成功返回了我的详细信息，并且我能够遍历 <order_id>。

许多赏金猎人可能认为如此大公司的平台不会存在此类问题，但事实证明，这里确实存在疏漏。

原文出处：https://medium.com/@ismailsaid1603/how-i-discovered-a-pii-disclosure-risk-affecting-thousand