文章总结： 本文披露一个结合拉黑与标记功能的逻辑漏洞：攻击者先标记受害者，再拉黑受害者，导致受害者无法访问文章页面从而无法移除标记，造成隐私泄露和强制社交绑定。建议平台应提供独立于文章页面的标记管理入口，并校验权限时区分拉黑状态。 综合评分： 75 文章分类： 漏洞分析,web安全

拉黑机制的标记移除绕过漏洞

原创

游山玩水 游山玩水

山水SRC

2026年10月4日 09:10 河南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

免责声明

本公众号分享的所有渗透测试技术文章仅面向合法授权的安全测试、学习交流与研究用途。读者必须确保自身行为符合《网络安全法》等相关法律法规，严禁将其用于任何未授权攻击等非法活动。因不当使用或传播相关内容所引发的任何法律责任与风险，由行为人自行承担，本公众号（或本人）概不负责

测试流程

测试前提

1. 标记功能

   ：系统支持在文章、帖子或动态中标记（@提及）其他用户，且被标记用户会收到通知。

2. 移除标记功能

   ：被标记用户（如用户B）有权限通过文章页面上的“移除标记”或“取消关联”按钮，将自己从标记列表中移除。

3. 拉黑/屏蔽功能

   ：用户（如用户A）可以拉黑其他用户，拉黑后，被拉黑用户（用户B）无法查看拉黑者（用户A）的内容（文章显示受限或提示无权限）。

4. 权限隔离

   ：移除标记功能依赖于被标记用户能够正常访问该文章页面。若无法访问文章，则无法触发移除操作。

5. 账户要求

   ：需要两个有效账户（攻击者A、受害者B），且A与B处于同一平台。

测试流程

步骤一：建立标记

1. 使用攻击者账号（A）登录系统。
2. 创建一篇文章、帖子或动态，在内容中标记受害者账号（B）（例如使用 @B 或选择用户B）。
3. 发布内容，确保标记成功，受害者B收到标记通知。

步骤二：触发权限隔离

1. 攻击者A进入隐私设置或关系管理页面，将受害者B加入黑名单（拉黑）。
2. 拉黑后，系统默认设置：被拉黑用户（B）无法查看拉黑者（A）的个人资料、文章列表及具体文章内容（返回 403 或“内容不可见”）。

步骤三：受害者尝试移除标记

1. 受害者B登录账号，查看通知并点击标记链接，试图访问文章。
2. 系统提示“无权访问”或页面空白（因被拉黑）。
3. 受害者B尝试通过通知栏、个人主页的“标记管理”或任何入口寻找移除标记选项，但发现：

• 若移除功能仅嵌入在文章详情页，则因无法打开文章而彻底无法操作。
• 若系统提供全局“移除我的标记”功能，但该功能后端校验文章可见性，同样返回失败。

1. 结果

   ：标记永久保留，受害者B无法解除与文章的关联。

步骤四：验证内容曝光

1. 其他用户（或攻击者A自己）查看该文章，标记列表仍显示用户B。
2. 文章中包含的关于用户B的敏感信息（如用户名、真实姓名、不必要的内容）持续公开曝光。

#

危害等级与影响

| 维度 | 影响描述 | | — | — | | 隐私泄露 | 高。攻击者可以故意在文章中包含受害者不愿公开的个人信息（如真实姓名、用户名、社交关系），通过强制标记使该信息被广泛传播，且受害者无法断开关联。 | | 强制社交绑定 | 高。受害者被强制“绑定”到攻击者创建的内容上，即使受害者反感或认为内容不当，也无法通过正常功能解除，造成心理困扰或社交压力。 | | 骚扰与霸凌 | 中。结合拉黑功能，攻击者可以“标记后即拉黑”，使受害者陷入“知道被标记却无法处理”的困境，构成一种隐蔽的骚扰手段。 |

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：山水SRC 游山玩水 游山玩水《拉黑机制的标记移除绕过漏洞》