金融行业平台的针对性防御渗透测试

当点击商城的个人资料修改处，系统会通过将当前用户的phone_client_uuid提交到服务器进行查询，调出个人资料的内容      

但由于系统并未对该功能进行访问控制，导致可通过遍历uuid的方式查询平台中任意用户的资料，通过工具对phone_client_uuid的后5位进行爆破尝试，如下图：     

通过对返回值的length进行筛选，发现成功爆破部分phone_client_uuid所对应的用户信息。 

代码防护

针对平行权限的访问控制缺失，我们建议使用基于用户或者会话的间接对象引用进行防护，比方说，一个某个选项包含6个授权给当前用户的资源，它可以使用一串特殊的数字或者字符串来指示哪个是用户选择的值，而不是使用资源的数据库关键字来表示，数字和字符串的生成可以结合账号信息进行生成，使得攻击者难以猜测生成的方式。

针对垂直权限的访问控制缺失，我们建议可以使用缺省拒绝所有的访问机制，然后对于每个功能的访问，可以明确授予特定角色的访问权限，同时用户在使用该功能时，系统应该对该用户的权限与访问控制机制进行校对。

2.3任意重置用户密码

漏洞描述

在众多的交易平台中，NSTRT发现任意重置用户密码这类型的问题也较为普遍，主要是出现在密码找回、邮箱验证等方面，部分漏洞从技术原理来说上来说它与越权操作时相似的，即用户越权去修改其他用户的信息，如密保电话、密保邮箱等，由于它敏感性所以我们将它归纳成一类进行探讨。

案例

绕过短信验证码

基本所有的金融交易平台都有短信找回密码的功能，但部分短信验证的功能较为不完善导致可被利用重置任意用户的账号，同样是某金融平台的实际案例：

在已知对方用户名和手机号码的情况下，通过站点的密码找回功能可绕过短信验证码直接重置该账号密码。下图为密码重置页面：