一个接口顺走全量人员信息：完整利用链复盘

原创

炫彩之星
炫彩之星

菜鸟学安全

2026年10月13日 20:30
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

攻防演练中最常见、也最好用的漏洞是什么？很多时候答案就三个字：无鉴权。本文复盘一次授权攻防实战，目标为xx系统：测试中通过JS抓取接口 + 前端代码审计定位到接口统一前缀，批量爆破后仅凭未授权接口，就拉回了 xx 条社区人员信息——姓名、手机号、身份证号、人像照片，甚至还拿到了 OSS 存储桶的临时访问凭证。

下面完整还原这条利用链：接口怎么找、数据怎么泄露、存储桶路径怎么暴露，每一步都附真实请求与截图（数据已脱敏），仅供学习交流。

在某次攻防实战中，发现某平台存在未授权访问漏洞，泄露xx条人员身份信息，包括身份证、姓名、手机号等，以及泄露人像图片等敏感信息。

本次渗透测试总计发现高危漏洞2个，漏洞情况如下表：

1 未授权访问

漏洞地址：https://xx.xx.xx.xx.com/api/h\_ll/commbox/v1

漏洞描述：

通过JS抓取的接口做批量未授权测试，并且发现/h\_ll/commbox/v1存在未授权访问漏洞，返回xx条社区人员身份信息，包含身份证、姓名、手机号等，以及泄露人像图片等敏感信息。

前端代码审计获取的前置路由为/api,只需要在根路径拼接上前置路由，再去批量爆破接口，测试未授权即可。

图6 未授权泄露的文件路径：浏览器直接访问即可查看人像照片，无需任何登录态（人脸已打码）

2 未授权泄露存储桶路径

漏洞位置：https://xx.xx.xx.xx.com/api/startupload/v1

图7 系统登录页：漏洞接口位于同一站点，未登录状态下即可直接调用

在burp抓包工具中找到/startupload/v1接口。

图8 在 Burp 中结合前端 JS 定位到 /startupload/v1 接口定义

拼接访问得到https://xx.xx.xx.xx.com/api/startupload/v1

图9 未授权请求 /api/startupload/v1 返回 200：响应中直接下发 accessid、security\_token、签名与策略等 STS 临时凭证

泄露OSS存储桶路径：

https://xx.xx.xx.xx.com

图10 浏览器直接回显凭证 JSON：host 字段即为 OSS 存储桶地址（已脱敏）

回顾整个项目：两个未授权接口，一个全量返回 xx 条社区居民实名信息及人像照片，另一个直接下发 OSS 存储桶的临时凭证，把存储桶地址与读写策略一并暴露。两者叠加，攻击者不仅能“读走”数据，还可能对存储桶内文件进行篡改和删除——在攻防演练中，这已经是核心数据失守的级别。

写在最后：这类漏洞没有复杂的技术含量，却往往造成最直接的危害——一行 baseUrl、一次批量爆破，就可能让大批个人敏感信息裸奔。防高级攻击之前，先把每一扇没上锁的门关好。技术交流之余，数据安全，人人有责。

免责声明：本文所有测试均在授权攻防项目中进行，文中涉及的域名、路径与个人数据均已脱敏处理；内容仅供安全研究与技术学习，严禁用于任何未经授权的测试或非法用途。