Hx Road

⚠警告

• 自行承担使用后果。
• 作者不支持以任何方式对仓库中脚本的滥用或对该应用服务器发起的直接攻击。
• 仓库中脚本仅通过抓包分析接口后完成。
• 所有脚本仅作学习交流用途。

Intro

非常基础的Dx Road平台漏洞调查与其相关使用方式的repo。

在粗略地分析了WKU现行论坛平台Dx Road小程序使用的接口后，我认为该应用存在严重安全隐患，包括但不限于下列问题：

• 管理平台接口暴露【不在本仓库展示】

• 管理平台弱密码【不在本仓库展示】

• 所有API接口暴露（swagger 默认路径返回值、管理平台后端进入）【不在本仓库展示】

• 多个接口有弱/无身份校验：

  • 用户发送帖子/评论后，该用户真实ID暴露 所有使用过的用户ID暴露、邮箱暴露（若有）

  • 浏览量统计，使用任意相同位数随机ID可计数

  • 点赞，使用暴露的任意用户真实ID通过

  • 发帖，使用暴露的任意用户真实ID通过

  • 私聊，可模拟任意暴露用户A发送给任意暴露用户B「Under Review」

  • 删除帖子，提供文章ID即可随意删除（隐藏）帖子

  • 增删“KOL”验证标记

• 绑定邮箱及其他信息可直接查询且明文暴露

• 错误处理不完备（非指定后缀邮箱引起报错）

• 绑定邮箱接口无后缀验证（绑定非学校邮箱）

• 验证码接口仅时限无次数限制（暴力绑定非本人邮箱）

• 邮箱接口无限流无验证，可短时向校内/外发送验证码

作者不支持以任何方式对仓库中脚本的滥用或对该应用服务器发起的直接攻击。仓库中脚本仅通过抓包分析接口后完成。所有脚本仅作学习交流用途。

• 如果发现新的漏洞/问题，你可以发起issue或提起PR。
• 如果你觉得这对你的课程/学习有帮助，你可以右上角点星⭐。
• 如果你需要进一步讨论或支持，你可以在issue区留言（在这个repo是被允许的）**

General：

目前平台安全状况堪忧，可以套别人皮说话，可以给自己刷赞，可以冒充人私信，可以看见你绑定的邮箱，通过某些“非常简单的手段”就可以实现开盒。 是否继续使用该平台由用户自己决定。
该应用应用层面存在严重问题，但上述脚本没有对其其他端口/服务进行分析。

License

You can suggest a license through https://choosealicense.com/

Change Log：

2022.11.4 平台使用Spring相关框架开发，swagger默认接口地址未更改，查询后可得管理平台路由及其他路由