拉黑机制的标记移除绕过漏洞

原创

游山玩水
游山玩水

山水SRC

2026年10月4日 09:10
河南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

免责声明

本公众号分享的所有渗透测试技术文章仅面向合法授权的安全测试、学习交流与研究用途。读者必须确保自身行为符合《网络安全法》等相关法律法规，严禁将其用于任何未授权攻击等非法活动。因不当使用或传播相关内容所引发的任何法律责任与风险，由行为人自行承担，本公众号（或本人）概不负责

测试流程

测试前提

1. 标记功能

：系统支持在文章、帖子或动态中标记（@提及）其他用户，且被标记用户会收到通知。
2. 移除标记功能

：被标记用户（如用户B）有权限通过文章页面上的“移除标记”或“取消关联”按钮，将自己从标记列表中移除。
3. 拉黑/屏蔽功能

：用户（如用户A）可以拉黑其他用户，拉黑后，被拉黑用户（用户B）无法查看拉黑者（用户A）的内容（文章显示受限或提示无权限）。
4. 权限隔离

：移除标记功能依赖于被标记用户能够正常访问该文章页面。若无法访问文章，则无法触发移除操作。
5. 账户要求

：需要两个有效账户（攻击者A、受害者B），且A与B处于同一平台。

测试流程

步骤一：建立标记

1. 使用攻击者账号（A）登录系统。
2. 创建一篇文章、帖子或动态，在内容中标记受害者账号（B）（例如使用 @B 或选择用户B）。
3. 发布内容，确保标记成功，受害者B收到标记通知。

步骤二：触发权限隔离

1. 攻击者A进入隐私设置或关系管理页面，将受害者B加入黑名单（拉黑）。
2. 拉黑后，系统默认设置：被拉黑用户（B）无法查看拉黑者（A）的个人资料、文章列表及具体文章内容（返回 403 或“内容不可见”）。

步骤三：受害者尝试移除标记

1. 受害者B登录账号，查看通知并点击标记链接，试图访问文章。
2. 系统提示“无权访问”或页面空白（因被拉黑）。
3. 受害者B尝试通过通知栏、个人主页的“标记管理”或任何入口寻找移除标记选项，但发现：

• 若移除功能仅嵌入在文章详情页，则因无法打开文章而彻底无法操作。
• 若系统提供全局“移除我的标记”功能，但该功能后端校验文章可见性，同样返回失败。

4. 结果

：标记永久保留，受害者B无法解除与文章的关联。

步骤四：验证内容曝光

1. 其他用户（或攻击者A自己）查看该文章，标记列表仍显示用户B。
2. 文章中包含的关于用户B的敏感信息（如用户名、真实姓名、不必要的内容）持续公开曝光。

危害等级与影响