文章总结： 这是一次授权渗透测试实战分享，目标为一站式服务系统。测试者通过申报查询功能，发现通过修改fid参数可越权查看其他用户提交的详细信息，属于典型越权漏洞。文章强调测试已获授权，并提醒勿用于非法用途。建议修复参数校验和权限控制。 综合评分： 82 文章分类： 渗透测试,漏洞分析,WEB安全,实战经验

渗透测试之丝滑开局

原创

pippybear pippybear

安全无界

2026年8月13日 10:00 上海

在小说阅读器读本章

去阅读

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

这是之前的一次授权渗透测试，目标是一个一体化服务系统，听起来好像挺牛掰，系统似乎很大的样子。

实际一看emmmm，好像有那么点公司门户网站的感觉，就信息展示加一点申报/查询，好家伙。

这次客户倒是没啥要求，主要就是想看看能不能出点漏洞给他们安全部门来点底气，这还说啥，硬着头皮先干再说。

展示的信息简单地过了一下，并没有见到之前敏感信息未脱敏直接放在前端 or 接口后端的情况。那就只能试一下申报查询了，按照往常的挖洞经验，这里一般都会有不少收获。直接申报办件。

申报完后，按照输入的信息搜索查询，并查看办件详情。

可以获取到如下数据包。

看到这个数据包的时候就觉得不简单，因为前面提到的页面信息，每一个信息就是一个fid，好家伙，颤抖的手激动的心。

直接将fid替换，emmmm，果然如此，直接可以查看到这个办件提交人的所有信息，完美。

赶紧梳理报告，给客户提提底气。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全无界 pippybear pippybear《渗透测试之丝滑开局》