文章总结： 本文分享了一次授权数据专项检查中的敏感信息泄露挖掘案例。作者通过注册目标服务平台账号，在申报事项功能中发现查询接口存在逻辑缺陷。通过置空姓名和身份证号参数，成功获取所有办件ID列表，进而利用详情接口批量获取用户敏感信息。该案例展示了常见的越权访问漏洞挖掘思路，属于典型的水平越权导致的数据泄露问题。 综合评分： 72 文章分类： 渗透测试,WEB安全,漏洞分析,实战经验,数据安全

有意思的敏感信息泄露挖掘

迪哥讲事

2026年2月9日 09:00 四川

以下文章来源于安全无界 ，作者pippybear

安全无界 .

面向年轻的网络安全爱好者，分享网络安全技术、工具和趋势。

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

这是之前的一次授权数据专项检查，要求很简单，客户就是想看看他们服务平台有没有意想不到的数据泄露，这还说啥，直接开整。

目标是一个服务平台，如下所示，有登录注册功能，啥也不说，先注册个账号，按正常流程走一走，看看都有些啥功能，一个一个走一遍。

点着点着，看到有一个申报事项功能，直觉告诉我，这里可能有突破口，赶紧先上一条测试数据，点击提交。

提交后，会有一个申报事项查询，这不就来了嘛。输入姓名和身份证号即可查询。

查看数据包，如下。

一如既往的思路，这个之前讲过很多次了，置空姓名和身份证参数（这个有些时候可以尝试分开置空，反正来回尝试就完事啦，主要还是得看开发老哥逻辑咋留的，哈哈），这里还是一如既往的返回了所有办件ID信息。

拿着这个fid即办件ID，在详情接口即可获取该办件ID相关的用户敏感信息啦，如下。

如果你是一个长期主义者，欢迎加入我的知识星球，本星球日日更新,包含号主大量一线实战,全网独一无二，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款

往期回顾

#

如何利用ai辅助挖漏洞

#

如何在移动端抓包-下

#

如何绕过签名校验

#

一款bp神器

挖掘有回显ssrf的隐藏payload

ssrf绕过新思路

一个辅助测试ssrf的工具

dom-xss精选文章

年度精选文章

Nuclei权威指南-如何躺赚

漏洞赏金猎人系列-如何测试设置功能IV

漏洞赏金猎人系列-如何测试注册功能以及相关Tips‍

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：迪哥讲事 《有意思的敏感信息泄露挖掘》