文章总结： 这篇文章介绍了一次使用Fuzz技术挖掘高危漏洞的实际案例。作者通过发现swagger页面中的API接口，经过多次尝试身份验证绕过，最终通过遍历userId参数成功获取了约5万条包含身份证、用户信息、手机号和人脸识别照片的敏感数据。文章展示了Fuzz技术在漏洞挖掘中的实际应用，强调了参数遍历和权限测试的重要性，提醒开发人员需要加强API接口的身份验证和权限控制机制。 综合评分： 84 文章分类： SRC活动,漏洞分析,渗透测试,WEB安全,数据安全

【SRC实战】通过FUZZ挖掘高危漏洞

原创

楼兰

隐雾安全

2025年10月29日 09:00 四川

01

前言

问：什么是Fuzz技术?

答:Fuzz是一种基于黑盒的自动化软件模糊测试技术,简单的说一种懒惰且暴力的技术融合了常见的以及精心构建的数据文本进行网站、软件安全性测试;

技术原理

02

一次曲折的FUZZ经历

一次曲折的高危漏洞挖掘

扫出来一个swagger页面

发现一个接口，然后我们正常测试这个接口拼接上参数，list嘛一般就是page和limit

/api/queryVisitorEntryExitList

发现验证失败，初步推测可能出现了身份认证，进行x-forward-for绕过未果

于是找到正常的登录界面去注册一个登录获得了身份凭据

发现会对如下身份凭据进行验证

Dept:

N0nce:

Pragm:

APath:

于是拼接到之前数据包再次测试发现出东西了，出了个蛋，数据是空的玛德心态爆炸了。

一般也就到这了对吧认为该项数据是空的，我也是这么想的于是越想越气，猜测是不是可能身份权限没有对应数据呢，或者说还缺少什么参数于是看登录数据包看看我的uid1和权限相关

登录共发现两个数据包，一个返回了我的用户id，一个用户id取获得了用户角色为”userRole”:”2″ ，我的想法这个用户角色可能有权限问题，于是进行拼接再次尝试。

尼妹的总算是出货了，出了个蛋，还是空空的。

于是我又猜了一下，去遍历了这个”userRole”:”2″ 发现还是没有数据，于是我猜是”userId”这个值觉得权限或者数据又去试了一下，出现了当前没有权限因此我觉得应该是userid值的问题，于是我去遍历了一下userid。

总算是出货了包含身份证、用户信息、手机号、人脸识别照片等等敏感信息5w左右

发现数据中有照片，点开看一眼只能说美女来的。

对身份证正确性进行验证，确定为真实身份证

03

网安交流群

添加客服微信进群

网安交流群

微信号｜Hiddenfog001