公益SRC | 记一次敏感信息泄露+水平越权的公益SRC挖掘

原创

已于 2025-01-06 20:05:40 修改 · 465 阅读

收录于

当前文章被以下社区和专栏收录：

于 2025-01-06 20:04:27 首次发布

小程序进去之后抓包，发现有openid

点击个人预约，填写信息后立即预约

预约成功之后点我的预约，抓包发现路径有参数，是对应的orderid，测试的orderid为88076，88077，88078

修改openid，可以看到其它人的敏感信息，粗略估计有八万多条

直接访问web端不需要登录就能看到敏感信息

标签

#web安全 #网络安全

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

underatted

关注关注

12
点赞
踩
5

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

逻辑漏洞渗透与攻防（六）之其他类型逻辑漏洞

把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....

01-08

1226

漏洞介绍：条件竞争是指一个系统的运行结果依赖于不受控制的事件的先后顺序。当这些不受控制的事件并没有按照开发者想要的方式运行时，就可能会出现bug。尤其在当前我们的系统中大量对资源进行共享，如果处理不当的话，就会产生条件竞争漏洞。件竞争涉及到的就是操作系统中所提到的进程或者线程同步的问题，当一个程序的运行的结果依赖于线程的顺序，处理不当就会发生条件竞争。漏洞介绍：通过数据包重放，可以造成短信轰炸、邮件轰炸、重复提交订单等。或者计算两次发送的时间间隔，时间过短就不继续发送了。修复思路（针对短信、邮件）

微信公众平台绑定微信用户OpenID与第三方业务账号

810364804

07-30

1739

转自：http://www.abyssly.com/2013/09/20/wx_bind/（原作者的思路蛮清晰的，赞一个！）最近由于工作需要，接触了微信公众号的开发。业务上要求绑定微信用户和系统用户，以便用户在一次绑定后能够通过系统用户的身份去使用一些功能。我关注的招行信用卡公众号实现了这个功能，所以估计还是可行的，在网上搜索了一下，发现这个问题没什么好的答案，很多都说取不到微信用...

参与评论您还未登录，请先登录后发表或查看评论

从微信授权登录到数据安全性的思考总结

null_从0到1的博客

04-12

2648

微信小程序 openid用法介绍

热门推荐

荒的博客

09-07

1万+

openid（OpenID Connect）是一个基于OAuth 2.0协议的认证协议，用于在客户端和服务端之间传递用户身份信息。在微信小程序中，openid是唯一标识一个用户的字符串，是用户在小程序中的身份证明。

深入认识微信小程序openid

hexadecimal_001的博客

08-22

2866

定义：OpenID是一种开放标准的认证协议，在微信小程序中，它特指一个用户在微信平台上的唯一标识符。这个标识符是微信小程序用来区分不同用户的“身份证”。作用用户身份验证：通过OpenID，小程序可以验证用户的身份，确保用户的安全性和唯一性。跨平台登录：用户可以使用OpenID在不同的微信小程序或相关应用中进行登录，无需重复创建新账户。隐私保护：OpenID采用非实名制认证方式，有助于保护用户的隐私信息不被滥用。提高用户体验：用户无需在小程序中重复输入个人信息，只需一次登录即可享受所有服务。

SRC漏洞挖掘入门指南：从零到一掌握白帽子实战技能

weixin_34095889的博客

06-21

354

漏洞挖掘是网络安全领域的核心技术之一，其核心原理在于通过系统性的方法发现软件或系统中潜在的安全缺陷。从技术价值角度看，掌握漏洞挖掘能力不仅能帮助企业和组织提前发现并修复安全风险，也是安全研究人员（白帽子）提升技术实力、参与安全生态建设的重要途径。在应用场景上，最常见的实践便是参与企业安全应急响应中心（SRC）的漏洞奖励计划，通过合法合规的方式测试并提交漏洞。对于初学者而言，入门SRC漏洞挖掘无需一开始就钻研高深技术，关键在于建立正确的心态、搭建最小化知识体系，并掌握从信息收集、漏洞测试到报告编写的完整实战流

新手入门补天SRC：从通用漏洞挖掘到实战报告编写全指南

weixin_34413103的博客

06-21

365

在网络安全领域，漏洞挖掘是安全测试与风险评估的核心环节，其原理在于通过系统性的方法发现软件或系统中存在的安全缺陷。掌握通用漏洞的挖掘技术，不仅能有效评估系统安全性，更能为构建纵深防御体系提供关键输入，具有极高的技术价值。SQL注入、跨站脚本（XSS）、敏感信息泄露等通用型漏洞，由于原理固定、利用工具成熟，成为安全测试人员，特别是初学者建立漏洞感知和挖掘手感的理想切入点。这些漏洞广泛存在于各类Web应用、API及移动端资产中，是进行渗透测试和代码审计时最常见的攻击面。本文以国内主流的补天SRC平台为实践场景，

SRC漏洞挖掘新手入门：从零到一提交有效漏洞报告

weixin_34087307的博客

06-26

496

网络安全领域中，漏洞挖掘是识别和利用系统安全缺陷的核心技术活动。其基本原理在于发现软件或系统的实际行为与设计安全预期之间的偏差，例如在身份验证、数据输入或访问控制等环节存在的逻辑缺陷。这项技术的价值在于主动发现潜在风险，帮助企业和组织在遭受恶意攻击前修复隐患，从而保障数据安全和业务连续性。在应用场景上，它广泛应用于企业安全测试、渗透评估以及安全应急响应中心（SRC）的漏洞奖励计划。对于希望进入该领域的新手而言，掌握标准的工作流程和工具链至关重要。本指南将聚焦于SRC漏洞挖掘，通过拆解核心概念如白帽子、漏洞赏

SRC漏洞挖掘实战：从信息收集到逻辑漏洞的深度利用与报告撰写

weixin_34294649的博客

06-20

362

网络安全领域中，漏洞挖掘是识别和利用系统安全缺陷的核心技术活动。其基本原理是通过系统性的信息收集、攻击面分析和渗透测试，发现软件或服务中存在的设计或实现缺陷。这项技术的价值在于主动发现潜在风险，帮助企业加固防御，同时也是安全研究人员验证技术能力、将知识转化为实践成果的重要途径。应用场景广泛覆盖Web应用、移动端API、业务系统等多个层面。在SRC（安全应急响应中心）生态中，高效的漏洞挖掘尤其依赖于对业务逻辑漏洞的深度理解和手动测试技巧，例如通过参数篡改、条件竞争等方式发现授权绕过或业务流程缺陷。本文聚焦于S

零基础入门SRC越权漏洞挖掘：从原理到实战的四阶段自学路线

06-19

355

访问控制是Web安全的核心机制，它通过权限校验确保用户只能访问授权资源。其原理在于系统对用户身份和操作权限进行匹配验证。这一机制的技术价值在于构建安全的业务边界，防止数据泄露和未授权操作。典型的应用场景包括用户资料管理、订单查询、后台系统等涉及敏感数据访问的功能。在实际工程实践中，**越权漏洞**常因权限校验缺失或逻辑缺陷而产生，表现为水平越权（访问同权限用户数据）或垂直越权（执行高权限操作）。对于安全研究人员，**SRC平台**提供了合法的实战环境，可通过系统化测试方法挖掘此类漏洞。本文聚焦于**越权漏洞

SRC漏洞挖掘实战指南：从零入门到高阶技巧

weixin_30235225的博客

06-18

443

在网络安全领域，漏洞挖掘是识别和修复系统安全缺陷的核心技术。其原理在于通过模拟攻击者行为，发现软件或系统中可能被利用的弱点，涉及信息收集、漏洞探测、验证与利用等多个环节。这项技术的价值不仅在于提升系统安全性，更是安全从业者验证和提升实战能力的重要途径，广泛应用于企业安全测试、渗透测试和应急响应等场景。掌握漏洞挖掘，特别是针对授权测试环境如安全应急响应中心（SRC），能有效将理论转化为实践。本文聚焦SRC平台，深入剖析其作为合规实战训练场的独特价值，系统讲解从平台选择、规则解读到技术栈准备、实战流程的完整方法

SRC漏洞挖掘实战指南：从零入门到高效提交

weixin_30247781的博客

06-21

396

网络安全的核心在于识别和防范潜在风险，其原理在于系统预期行为与实际响应之间的差异可能被利用。理解这一基础概念对于构建安全防线至关重要，其技术价值在于将抽象的安全理论转化为可落地的工程实践。在众多应用场景中，安全应急响应中心（SRC）为安全研究人员提供了一个合法、合规的实战平台。通过系统性的信息收集、手动测试与自动化工具辅助，白帽子可以高效地进行漏洞挖掘。本文聚焦于**业务逻辑漏洞**和**越权访问**等核心类型，详细拆解了从目标筛选、漏洞探测到报告撰写的完整流程，旨在为初学者提供一条清晰的SRC实战入门路径

零基础入门漏洞挖掘：从HTTP协议到实战SRC的完整指南

最新发布

weixin_34205826的博客

06-27

352

网络安全的核心在于理解数据在应用中的流转与验证机制。从基础的HTTP协议、Web前后端交互原理入手，掌握浏览器开发者工具和代理抓包等关键技术，能够帮助安全从业者建立系统的安全测试思维。这些技能不仅有助于发现SQL注入、越权访问等常见漏洞，更能提升在真实业务场景中的风险识别能力。本文聚焦于**漏洞挖掘**的入门路径，通过拆解**SRC实战**流程，为初学者提供从靶场练习到公益平台测试的渐进式学习框架，帮助读者在合法合规的前提下，完成从理论认知到独立挖掘的完整跨越。

SRC漏洞挖掘实战指南：从零入门到提交首个漏洞报告

weixin_30785593的博客

06-26

289

在网络安全领域，漏洞挖掘是识别和利用软件、系统或网络协议中缺陷的核心技术。其原理在于攻击者通过构造特定输入，触发非预期的程序行为，从而获取未授权访问或执行恶意操作。掌握这项技术对于构建安全防线、提升系统健壮性具有重要价值，尤其在Web应用、移动App等互联网暴露面广泛的应用场景中。本文聚焦于安全应急响应中心这一合规竞技场，系统拆解了从网络协议基础、常见Web漏洞原理到自动化工具链的实战技能栈。通过结合Burp Suite、SQLMap等核心工具的使用心法，以及模拟一次完整的SRC实战流程，旨在为安全研究员，

SRC漏洞挖掘实战指南：从信息收集到逻辑漏洞的完整攻防思路

congsikuai0611的博客

06-18

396

漏洞挖掘是网络安全领域的核心技术之一，其本质是通过系统化的方法发现软件或系统中的安全缺陷。从技术原理上看，它融合了信息收集、协议分析、代码审计与逻辑推理等多方面技能，旨在模拟攻击者思维，提前发现潜在风险。在工程实践中，高效的黑盒测试尤其依赖全面的资产测绘与信息优势，这直接决定了漏洞发现的概率。对于安全从业者而言，掌握从常见Web漏洞（如SQL注入、XSS）到业务逻辑漏洞的挖掘手法，不仅能提升实战能力，更是通往安全研究、渗透测试等职业方向的重要路径。本文聚焦于SRC（安全应急响应中心）漏洞挖掘，系统拆解了从目

SRC漏洞挖掘实战：从信息搜集到报告撰写的完整攻防体系

weixin_34242509的博客

06-20

479

漏洞挖掘是网络安全领域的核心技能之一，其本质是通过系统化的方法发现软件或系统中的安全缺陷。其原理在于攻击者利用输入验证、权限控制或业务逻辑中的设计疏漏，构造恶意数据或操作序列，从而突破系统安全边界。掌握这项技术对于构建主动防御能力、理解攻击者视角具有重要价值，广泛应用于企业安全测试、渗透评估和应急响应。在SRC（安全应急响应中心）场景中，漏洞挖掘直接关联技术变现，研究者通过提交高危漏洞如逻辑漏洞和SSRF获取奖励。本文聚焦于构建从资产发现、漏洞探测到报告提交的完整实战框架，特别针对逻辑漏洞与SSRF等高危类

SRC漏洞挖掘实战指南：从合规入门到高效报告撰写

weixin_30415113的博客

06-25

333

在网络安全领域，漏洞挖掘是识别和修复系统安全缺陷的核心技术。其原理在于通过模拟攻击者行为，对授权目标进行系统性安全测试，以发现潜在的安全风险。这项技术的价值不仅在于提升个人安全攻防技能，更能帮助企业提前发现隐患，构建主动防御体系。在实际应用场景中，安全应急响应中心（SRC）为白帽子提供了合规的漏洞挖掘平台。通过掌握信息收集、SQL注入与逻辑漏洞等常见手法的测试流程，安全研究员可以高效地进行漏洞探测。本文聚焦于SRC漏洞挖掘的完整闭环，详细拆解了从平台选择、合规规则理解到实战步骤与报告撰写的全流程，为初学者提

SRC漏洞挖掘入门指南：从零基础到实战挖洞的完整路径

weixin_30275415的博客

06-22

407

网络安全领域中，漏洞挖掘是识别和利用系统安全弱点的核心技术。其原理在于通过系统性的测试方法，模拟攻击者行为，发现软件或网络中的设计缺陷与实现错误。这项技术的价值不仅在于提升系统安全性，更能为企业主动防御提供关键支撑，广泛应用于企业安全测试、渗透评估等场景。在众多实践方式中，SRC（安全应急响应中心）平台为安全研究人员提供了规范的实战环境。掌握诸如SQL注入、文件上传等常见漏洞的测试方法，并熟练使用Burp Suite等工具进行手工验证，是构建有效挖掘能力的基础。通过建立系统的测试流程与挖掘思维，研究人员可以

SRC漏洞挖掘实战指南：从信息收集到报告提交的完整方法论

weixin_33863087的博客

06-23

314

在网络安全领域，漏洞挖掘是识别和修复系统安全缺陷的核心技术活动。其基本原理是通过系统化的方法，模拟攻击者视角，在授权范围内探测应用或系统中可能被利用的弱点。这项技术的价值在于主动发现风险，防患于未然，是构建主动防御体系、提升整体安全水位的关键实践。其应用场景广泛覆盖企业安全建设、渗透测试、安全研究以及安全应急响应中心（SRC）的众测项目。具体到SRC漏洞挖掘，它要求从业者不仅掌握常见的Web漏洞原理，如业务逻辑漏洞和注入漏洞，更需具备从信息收集、资产测绘到漏洞验证、报告编写的完整工程化能力。通过合法合规的测

从CTF到SRC：实战化漏洞挖掘思维转型与工程化技能进阶指南

weixin_30423977的博客

06-23

336

漏洞挖掘是网络安全领域的核心实践，其本质在于识别和利用软件或系统中的安全缺陷。其原理涉及对系统攻击面的全面测绘、对已知漏洞模式的识别以及对业务逻辑的深度理解。掌握这项技术对于构建主动防御体系、提升企业安全水位具有关键价值，广泛应用于渗透测试、安全众测和红蓝对抗等场景。在实战中，CTF夺旗赛培养的解题能力是基础，但转向SRC（安全应急响应中心）漏洞挖掘需要完成关键的思维转型：从封闭环境的“解谜”转向开放网络的“风险狩猎”。这要求安全研究员必须掌握深度信息收集、攻击面管理等工程化方法，并熟练运用如Burp Su