[ 实战] 某高校新大陆门禁人脸认证系统存在敏感信息泄露漏洞

警告

该实验仅供学习，请不要以身试法！
一切未经授权的渗透行为,均属于违法行为!
此案例中所有内容已授权上报,在此将不会公开POC代码,请不要用于非法行为,否则后果自负

风险评估 <高危>

1.API泄露
2.未授权访问
3.敏感信息泄露
4.服务器注入漏洞

根据风险评估模型(DREAD)
D(3)+R(3)+E(3)+A(2)+D(2)=13
在12·15范围内,判定结果属于高危

ps:只需要对方名字和工号，即可任意用户水平越权查看该学生以及老师的敏感信息，根据敏感信息进一步修改服务器数据库中指定的参数，若管理员调用该参数则可能会触发严重的存储型xss或二次SQL注入

漏洞验证

1. 收集信息(API泄露)
   
   

模拟攻击

将人员姓名,工号传入
根据以上响应体中sfz号参数,尝试继续修改服务器参数

POC验证

#python3 TRACE.py -h

#python3 TRACE.py -url http://a.com -orgid x -name xxx -id xxxxxxx