У моей школы есть веб-сайт, на который учащиеся могут получить доступ, используя свои учетные данные(номер приема и пароль), чтобы просмотреть свою информацию, такую ​​как табель успеваемости, достижения, задания и т. д.

Однажды, блуждая по сайту, я подумал о проверке его безопасности. Сначала я попробовал базовые SQL Injection и XSS Payloads в поле входа в систему, но они, похоже, не имели значения. Затем я вошел в систему со своими учетными данными, надеясь найти что-то, что я мог бы использовать, немного осмотревшись и используя свое минимальное понимание веб-сайтов, я понял, что все данные учащихся должны храниться на сервере, чтобы студенты могли чтобы получить к нему доступ.

ВЗЛОМ

Когда я нажал на кнопку и перехватил запрос с помощью Burp Suite, я заметил, что он отправляет запрос, и это мой номер допуска, поэтому я решил изменить номер допуска на номер допуска моего друга, поскольку номера допуска в любом случае являются общедоступной информацией.

И тут меня встретили с этим

Я успешно воспользовался сайтом и получил доступ к табелю успеваемости моего друга и всем его действиям. Он присоединился к школе в прошлом году, поэтому я мог получить доступ только к этим записям, поскольку других записей не существует.

КАК РАБОТАЕТ ВЗЛОМ

Этот тип взлома называется атакой Небезопасные прямые ссылки на объекты (IDOR). Это происходит, когда приложение (т. е. веб-сайт в данном случае) использует ввод пользователя напрямую для доступа к объектам (т. е. к записям) .

Бонус

Я нашел способ легко получить доступ ко всем записям после анализа исходного кода. Я обнаружил, что веб-сайт отправляет запрос на другой веб-сайт/сервер для доступа к записям.

Перейдя по ссылке и используя свой номер допуска в качестве входных данных, я получил свой табель успеваемости.

Теперь пользователь может получить доступ ко всем записям, даже не входя в систему, так как эта страница не запрашивает никаких учетных данных.

Я уже сообщил об этих уязвимостях в школу и получил разрешение опубликовать статью о том же.

Если у вас есть какие-либо сомнения, пожалуйста, не стесняйтесь обращаться ко мне в комментариях.