黑客自述：巴基斯坦某省土地登记访问权限被我拿下，1500多万条记录裸露

原创

助力行业的
助力行业的

李白你好

2026年10月22日 07:30
青海

去阅读

黑客自述

我没有什么复杂的攻击链可以炫耀。这次发现的核心，是一个本该先确认访问者身份、再决定是否返回信息的系统，似乎跳过了这道检查。

目标涉及巴基斯坦旁遮普省的 PULSE（土地系统提升项目）。按照我在帖子中的描述，相关土地登记服务存在未经身份验证即可访问数据的问题。我将其归为访问控制失效，并提到了不安全的直接对象引用，也就是 IDOR。

但漏洞名称只是概括。真正让我在意的是：这些接口返回的内容，远远超出了普通人对“公开土地查询”的想象。

返回的不只是土地信息

我看到的记录中，包含姓名、配偶姓名、完整的十三位国民身份证号码，以及房产描述、申报价值、所属行政区域和交易日期等字段。

单独看，每个字段都像是一项登记业务所需的信息。放在一起，它们就能把一个人的身份、家庭关系和财产情况联系起来。

我在原帖里列出过一条记录，用来解释这些字段的含义。这篇文章不再展示其中的具体数值和地点，也不保留可以用于定位原始记录的编号。

那条记录还带有业务状态：是否批准、是否完成登记簿、何时创建和修改等。这些字段说明，接口返回的不仅有面向查询者的土地信息，还包含登记流程中的内部信息。不过，仅凭这些内容，不能判断系统是否允许外部人员修改记录。

“一千五百多万”意味着什么

我在帖子中声称，可访问的记录规模约为一千五百六十五万条，并在标题里将它简写成“16M”。

这个数字很醒目，也容易被误读。

它首先是记录数量的说法，不能直接换算成相同数量的公民。同一个人可能涉及多笔交易，一条登记也可能关联多名当事人。实际涉及多少独立个人、是否存在重复数据、覆盖哪些地区，都需要进一步核实。

原帖中，我还使用了“全国土地登记数据库”的表述。但系统所属项目与旁遮普省有关，仅凭帖子中展示的材料，不足以支持全国覆盖的结论。这一点应该说清楚。

同样，能够访问一个规模庞大的数据集合，也不等于已经完整下载了全部内容。外界不应把这两件事混为一谈。

我说过自己发出了通知

在公开帖子之前，我称自己已经通过邮件，将问题通知了 PULSE 的技术团队和巴基斯坦国家计算机应急响应团队 PKCERT。截至发帖时，我没有收到答复。

这是我在帖子中的陈述。文章没有附上足以独立核验的完整邮件往来，因此不能据此认定对方已经收到、确认或者忽视了报告。没有回复，也无法说明内部是否已经开始处理。

我同时表示，没有向巴基斯坦政府相关人员索要赎金。

但这句话并不能回答所有问题。是否索要赎金，与是否妥善处理接触到的数据，是两回事。公开漏洞描述时展示多少信息、是否保留数据、是否提供下载渠道，每一步都会影响当事人的风险。

公开之后，问题仍然存在

我的原帖附有截图和多个外部存储链接。这篇改写删除了这些入口，也隐去了联系方式。说明访问控制问题，并不需要让读者拿到他人的身份和财产记录。

如果相关暴露属实，姓名、身份证号码、家庭关系和房产信息的组合，可能被用于更有针对性的诈骗、身份冒用或社会工程活动。至于是否已经发生这些后果，原帖没有提供证据。

我能讲述的是自己声称发现了什么。系统当时究竟开放到什么程度、哪些记录受影响、问题后来是否修复，需要由进一步调查回答。

2026 年 10 月 20 日，我把这件事写成了黑客论坛上的一篇帖子。但真正值得追问的，是每一次数据请求到来时，系统有没有确认：眼前这个人，是否有权看到这些信息。

如果这道检查缺席，再普通的查询功能，也可能成为个人信息暴露的出口。

网络安全情报攻防站

www.libaisec.com

综合性的技术交流与资源共享社区

专注于红蓝对抗、攻防渗透、威胁情报、安全资讯

👇 点击阅读原文，访问网络安全情报攻防站