知乎的权限控制的很严格,但是百密一疏。

关键字:任意用户权限修改。

影响:可影响所有话题下所有用户的交流。

其他的地方token啊hash啥的都很厉害,唯独这个地方的token没有生效啊! 

1·在任意一话题下找到任意一个人的评论,看他的属性值

知乎任意用户越权操作

看到此用户的留言aid=1794719 ,此为攻击对象。

2·攻击者可在对自己留言权限进行操作时,抓包修改aid值

知乎任意用户越权操作

这个是允许所有用户评论,可以看到用户留言权限状态,对所有人进行了开放(如果用户设置了其他权限)

知乎任意用户越权操作

3·另外两种就是只对关注我的人开放

知乎任意用户越权操作

和完全不开放评论

知乎任意用户越权操作

看效果

知乎任意用户越权操作

修复方案:

如果攻击者写一个程序,批量执行此请求


知乎任意用户越权操作


是不是能达到整个网站’禁言‘的效果? -0-