【网络安全 | 漏洞挖掘】$15,000——通过持久token获取个人身份信息（PII）

未经许可，不得转载。

绕侧攻击应用程序

某金融服务平台提供了测试凭据，允许直接登录测试环境。主应用程序包含数百个功能和端点，因此在测试过程中花费了大量时间。然而，在漏洞赏金活动中，这种方法效果不佳，因为覆盖范围太广，且可能有许多其他安全研究员在研究相同的功能。

为了找到一个关键漏洞，我决定专注于那些被忽视的端点和功能，而不是应用程序表面上显而易见的部分。由于这是一家金融公司，注册流程相对复杂。用户需要填写一份包含个人财务信息的申请表，并提交审核。该申请表中包含极为敏感的个人身份信息（PII），如社会安全号码（SSN）、住址、电子邮件和就业信息。

发现注册流程中的异常token

我的测试从访问注册页面开始：

https://example.com/test/apply/information

在填写基本信息并点击“下一步”后，我通过Burp Suite捕获了所有请求，发现服务器在Set-Cookie头中返回了一个会话令牌：

Set-Cookie: redactedSession=d54f59dbr202bb056df90ff55bc1e6611279; path=/

该令牌似乎是一个SHA-1哈希值，并且不会过期，这意味着一旦泄露，攻击者可以长期使用它进行身份验证。

调查token泄露

在继续注册流程直至账户创建成功后，我发现URL中嵌入了Token参数：

https://example