漏洞介绍: 业务系统部分功能需要登录后才能访问,例如后台系统,但在开发过程中,一些类似查询数据的接口,并没有做登录态的判断,只需要调用就可以访问 测试方法: 请求接口的时候,删除掉cookie,看系统是否要求登录认证 漏洞案例: 以下接口本身是是后台管理的一个模块,但是测试的时候,删除cookie后,也能正常请求,可以看到请求包中没有cookie的字段 修复方法: 梳理需要登录的接口,配置接口需要登录态