在对客户网站以及APP进行渗透测试服务时候，越权漏洞对业务系统的正常运转影响很大，很多客户网站信息被泄露，数据库被篡改一大部分原因跟越权漏洞有关，前端时候某金融客户因为数据被泄露，通过老客户介绍，找到我们SINE安全做渗透测试服务，找出数据被泄露的原因以及目前网站APP存在的未知漏洞，根据我们十多年的渗透经验来分享这次网站安全测试的整个过程。
首先要收集客户的资料，我们SINE安全技术与甲方的网站维护人员进行了沟通，确定下网站采用的是php语言，数据库类型是Mysql,服务器采用的是linuxcentos，买的是香港阿里云ECS，数据库采用的是内网传输并使用了RDS数据库实例作为整个网站APP的运营环境.
央视网：警惕虚拟币市场的“情绪繁荣”:比特币的暴涨与暴跌，堪称新世纪最为剧烈的财富神话。全球多个金融机构、政府都警告过，比特币背后既没有金本位的内在价值，也没有法币的主权信用，更缺乏实际经济活动的支持和正式的安全保证。本质上，虚拟币是以共识为基础的一种商品，虽然被拥趸奉为“数字黄金”，但在当下的市场中，其实际价值、波动性、投机性、无政府性，都使得比特币不再是一种避险的投资工具，而是投机工具。对虚拟货币交易的系统性风险，我们必须保持足够的警惕，避免成为虚拟币市场甚至幕后操控者的牺牲品。（央视网）[2021/5/21 22:28:50]
在对客户有了一定的了解后，客户提供了网站的会员账号密码，我们模拟攻击者的手法去黑盒测试目前网站存在的漏洞，登陆网站后，客户存在交易系统功能，使用的是区块链以及虚拟币进行币与币之间的交易金融网站，包括币币交换，转币，提币，冲币，包括了去中心化，以及平台与虚拟币交易所进行安全通信，第三方的API接口，也就是说客户的币上了链，
山东金融局：不轻信虚拟币等炒作 非法集资政府不会买单:3月4日，山东省地方金融监督管理局（下称“山东金融监管局”）官网发布公告，提示投资者“疫情防控期间理性选择投资渠道，谨防非法集资陷阱”。公告中，对于谎称可以代购代销“特效药”“口罩”“消液”等物资的消费返利，或炒作“冠状病加密货币”等概念的行为，均被山东金融监管局“风险”提示。同时，山东金融监管局强调，非法集资是违法犯罪行为，参与非法集资责任自负，且不受法律保护，政府不会买单。（新京报）[2020/3/4]
直接到交易所进行公开交易，资金安全很重要，只要出现一点安全隐患导致的损失可能达到几十万甚至上百万，不过还好客户只是用户信息泄露，针对这一情况，我们展开了全面的人工渗透测试。
声音丨业内评论央行数币研究所相关负责人讲话：对虚拟币捆绑炒作正本清源:据北京商报报道称，对于日前中国央行数字货币研究所研发部负责人蒋国庆的讲话，业内人士认为，这一表述可以看做对当前虚拟币捆绑区块链技术以及法定数字货币炒作乱象的正本清源。昨日，蒋国庆在出席活动时表示，法定数字货币和区块链其实并没有直接关系，甚至并没有技术上的必然联系。区块链只是法定数字货币将来流通的一个可选手段。[2018/7/2]
首先我们对用户测试这里进行漏洞检测，在这里跟大家简单的介绍一下什么是越权漏洞，这种漏洞一般发生在网站前端与用户进行交互的，包括get.post.cookies等方式的数据传输，如果传输过程中未对用户当前的账户所属权限进行安全判断，那么就会导致通过修改数据包来查看其它用户的一些信息，绕过权限的检查，可直接查看任意用户的信息，包括用户的账户，注册手机号，身份认证等信息。
央视财经再度发声：虚拟币场外交易绕监管，交易所挣钱花样多:5月22日晚，央视财经频道《经济信息联播》节目三问区块链：1.代币交易所外迁，数量功能均增加。自去年9月4日之后，国内交易所外迁的同时，还新增了“场外交易”功能。专家表示该功能的推出是为了绕开监管，吸引国内投资者入场；2.代币市场乱象横生，交易所挣钱花样多。手续费不再是代币交易所的唯一收入来源，由于各国监管政策不够完善，高额的上币费、收取项目方的原始币赚差价、交易所发行自己的代币进行上市交易皆为代币交易所的收入来源；3.遏制乱象，代币交易所监管亟待破局。针对3月30日某交易所的回滚行为，专家表示回滚事件本身就是一个操纵市场的行为，也说明了我们现在的交易所是无监管，非常乱的状态。[2018/5/22]
接下来我们来实际操作，登陆网站，查看用户信息，发现连接使用的是这种形式，如下：/user/58,上面的这个网址最后的值是58，与当前我们登陆的账户是相互对应的，也是ID值，USERID=58，也就是说我自己的账户是ID58，如果我修改后面的数值，并访问打开，如果出现了其他用户的账户信息，那么这就是越权漏洞。/user/60，打开，我们发现了问题，直接显示手机号，用户名，以及实名认证的身份证号码，姓名，这是赤裸裸的网站漏洞啊！这安全防范意识也太薄弱了。
用户信息查看这里存在越权漏洞，发生的原因是网站并没有对用户信息查看功能进行权限判断，以及对账户所属权限判断，导致发生可以查看任意用户ID的信息，如下图所示：
漏洞很明显，这是导致用户信息泄露的主要原因，并且我们在测试用户注册的账户也发现了用户信息泄露漏洞，我们抓取了POST到用户注册接口端这里，可以看到数据包里包含了userid，我们渗透测试对其ID值修改为61，然后服务器后端返回来的信息，提示用户已存在，并带着该ID=61的用户信息，包含了姓名，邮箱地址，钱包地址，等一些隐私的信息，如下返回的200状态代码所示：
HTTP/1.1200OK
Date:Tue,08Mon202009:18:26GMT
Content-Type:text/html
Connection:OPEN
Set-Cookie:__cQDUSid=d869po9678ahj2ki98nbplgyh266;
Vary:Accept-Encoding
CF-RAY:d869po9678ahj2ki98nbplgyh266
Content-Length:500
{"error":"exist","user":[{"id":"61","username":"zhangchunyan","email":"admin@whocare","mobile":13005858****,"btc":"69jn986bb2356abp098nny889".
通过上面的漏洞可以直接批量枚举其他ID值的账户信息，导致网站的所有用户信息都被泄露，漏洞危害极大，如果网站运营者不加以修复漏洞，后期用户发展规模上来，很多人的信息泄露就麻烦了。如果您的网站以及APP也因为用户信息被泄露，数据被篡改等安全问题困扰，要解决此问题建议对网站进行渗透测试服务，从根源去找出网站漏洞所在，防止网站继续被攻击，可以找专业的网站安全公司来处理，国内SINESAFE，深信服，三零卫士，绿盟都是比较不错的安全公司，在渗透测试方面都是很有名的，尤其虚拟币网站，虚拟币交易所，区块链网站的安全，在网站，APP，或者新功能上线之前一定要做渗透测试服务，提前检查存在的漏洞隐患，尽早修复，防止后期发展规模壮大造成不必要的经济损失。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。