【漏洞学习】DVP-2018-10297 （图片变量泄露大量身份证信息）

漏洞URL： https://www.exchain.com/usercenter/kyc

简要描述：

在身份认证处，上传身份证图片会以id命名保存，且未设置访问权限，导致可遍历id获取用户身份信息

漏洞证明：

身份证正面：

https://service.exchain.com/uploads/id_front.jpg

身份证反面：

https://service.exchain.com/uploads/id_back.jpg

手持身份证照：

https://service.exchain.com/uploads/id_hold.jpg

遍历id

证明：

https://service.exchain.com/uploads/2312_front.jpg

https://service.exchain.com/uploads/2312_hold.jpg

 

漏洞利用代码：

2312、2416、2365、1637、3173、2892、2910、2348、2239、2343、2502、2027、1795、3229、2399、2074、1736、2231、3169、3019、1859、3060、2818等、、

修复方案：

自定义身份证文件命名方式，不要直接以id来作为前缀，尽量无规律可循。