文章总结： 本文记录了一次高危文件ID遍历漏洞挖掘。通过爆破预览接口的fileId参数，导致几十万身份证信息泄露。文章详解了发现与利用过程，提醒开发者需对文件标识实施严格权限校验与加密，防止此类遍历攻击造成敏感数据外泄。 综合评分： 75 文章分类： SRC活动,WEB安全,数据泄露,漏洞分析,渗透测试

记一次高危信息泄露漏洞

原创

极光攻防

极光攻防实验室

2025年12月2日 07:56 湖南

1、前言

fileId 遍历漏洞是文件预览接口高频高危风险，通过爆破 / 推导 fileId 参数，可非法访问身份证等敏感文件，致大量信息泄露，是 SRC 挖洞核心高危靶点。

2、发现过程

在对某src进行挖掘时，借助findsomething工具定位到包含类似fileId的接口（例如目标接口为/system/previewFile?fileId=），需格外警惕——这类携带唯一标识参数的接口，存在被遍历可能。

image-20251108103003083

但结合接口路径中 “previewFile”（文件预览）的语义，可明确其与文件预览功能强相关。针对fileId的获取，实践中常用三种方法：

1、自行上传测试文件，通过对比上传前后的接口请求，分析fileId的生成规律（如是否为自增数字、哈希值等）；

2、收集网站已公开的文件预览链接，提取其中的fileId参数，反向推导取值逻辑；

3、直接对fileId参数进行爆破，暴力尝试可能的取值范围。

3、利用过程

fileId参数爆破操作要点

对fileId进行爆破时，需具备足够耐心 —— 部分场景下fileId数值会设置得较高，通常需分多次爆破，取值范围可能覆盖至数百万级，直接选择Sniper 模式，该模式适用于对单一参数（此处即fileId）进行逐一取值测试。

image-20251108103012421

直到出现935843，打开返回包的文件链接

image-20251108103018013

身份证照片泄露，fileid还可以遍历，统计大概泄露几十万个人身份证信息

img

4、拿到kfc奖励

最终也是获得高危奖励

image-20251108103039399

更多漏洞挖掘，渗透测试学习—-》》极光攻防社区，https://jgsec.cn

局部截取_20251119_120832

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：极光攻防实验室 极光攻防《记一次高危信息泄露漏洞》