概述
本案例是一次在某建材公司的项目实战测试中发现的一个swagger-ui接口文档泄露的漏洞,该漏洞归属于API OWASP TOP 10漏洞类别中的资产管理不当,最后能够通过该接口文档实现漏洞利用的危害最大化,在这里将其作为一个漏洞案例分享出来给大家。
弱密码可以在CMD5解密网站上可以进行解密:
接口文档泄漏
目标系统是一个人力资源管理网站,ping其域名对应的直接是真实IP,没有使用CDN。Nmap对其IP进行端口扫描后发现其中一个端口对应的直接是swagger-ui接口文档,粗略的看了一下,发现其中有不下100个接口功能端点:
获得大量账号密码
在接口文档中发现了一个可以查询所有用户的信息的端点,泄露了每个用户的账号和密码,其中密码为MD5加密方式:
弱密码可以在CMD5解密网站上可以