【网络安全 | 漏洞挖掘】后端接受非预期参数的故事

未经许可，不得转载。

正文

在对某项目进行测试时，我遵循了一套系统化的方法论，以确保全面理解其安全性。

首先，我创建了一个账户，并从用户的角度探索主域及其各项功能。此阶段，我避免使用 Burp Suite 或其他工具，而是尝试真正理解该应用的设计逻辑与交互方式。

随后，我聚焦于身份验证相关的安全性测试，包括登录、注册、密码重置等关键功能。然而，经过一系列测试，我未能发现任何明显的漏洞——这些功能的安全性得到了妥善的保护。

然而，在注册过程中，我注意到应用要求进行电子邮件验证。这让我产生了一个思路：是否存在绕过该验证的方法？

我随即对发送至邮箱的验证链接进行了详细分析，重点检查其生成机制是否存在任何配置错误，关注的关键点包括：

• 可预测的令牌 —— 如果令牌模式容易猜测，攻击者可以利用暴力破解进行滥用。
• 编码的邮箱值 —— 若令牌中包含邮箱地址，并使用 Base64 或 URL 编码，可能存在篡改或重放的风险。
• 可篡改的参数 —— 若链接中包含 email 或 user_id 等参数，我可以尝试修改它们以测试服务器的校验机制。

然而，经过一系列测试，我发现这些问题均未出现。该应用使用的令牌强大且不可预测，使得直接攻击变得不可能。

在意识到电子邮件验证的绕过难度较大后，我决定将测试重点转向应用的其他功能。我探索了不同区域，试图发现潜在的漏洞。其中，用户个人资料 是我关注的重点区域之一，因为它往往容易受到 CSRF、CORS 配置错误、缓存欺骗、IDOR（越权访问） 等攻击的影响。

但进一步测试后，我发现该应用对敏感信息的修改进行了有