文章总结： 本文披露了某平台因拉黑功能UI缺失导致的权限逃逸与恶意刷屏漏洞。被拉黑用户仍可发言但主播不可见，而主播端缺少黑名单管理入口且无频率限制。攻击者借此可绕过主播管控，利用脚本向其他观众疯狂刷屏骚扰，主播却完全无感知且无法处理。建议在主播端补充黑名单查看与解除功能，并对拉黑用户直接禁言或严格限流。 综合评分： 75 文章分类： 漏洞分析,SRC活动,应用安全,渗透测试

拉黑功能 UI 缺失导致的权限逃逸与恶意刷屏

原创

游山玩水 游山玩水

山水SRC

2026年8月18日 09:15 河南

在小说阅读器读本章

去阅读

免责声明

本公众号分享的所有渗透测试技术文章仅面向合法授权的安全测试、学习交流与研究用途。读者必须确保自身行为符合《网络安全法》等相关法律法规，严禁将其用于任何未授权攻击等非法活动。因不当使用或传播相关内容所引发的任何法律责任与风险，由行为人自行承担，本公众号（或本人）概不负责

测试流程

测试前提

1. 平台存在“拉黑”功能，主播可以将特定用户加入黑名单。
2. 拉黑后的逻辑为：被拉黑用户仍可以发送评论，但该评论对主播不可见（即“仅自己可见”或“仅其他人可见”）。
3. 关键缺失：主播端的管理后台或直播间设置中，缺少“已拉黑用户列表”的查看/解除入口。
4. 系统未对被拉黑用户的发送频率进行额外限制（如拉黑后禁言或大幅降频）。

测试流程

1. 建立测试环境：使用一个普通账号（攻击者视角）进入某主播的直播间。
2. 触发拉黑：让主播执行拉黑操作，将测试账号拉黑。
3. 验证可见性隔离：

• 用测试账号发送一条特征评论（如“Block Test 001”）。
• 切换回主播视角：确认评论流中不显示该消息。
• 切换回测试账号：确认自己仍能看到这条消息（确认只是“屏蔽”而非“禁言”）。

1. 验证 UI 缺失：

• 主播在后台、APP 设置、粉丝列表、黑名单管理等所有可能位置查找，确认无法找到被拉黑用户的列表，也无法对其进行“解除拉黑”或“禁言”操作。

1. 验证刷屏危害：

• 测试账号开启自动化脚本（或手动快速点击），持续发送大量垃圾评论（如刷屏、广告、辱骂词）。
• 观察主播端：屏幕清爽，无感知；观察路人端：评论区被垃圾信息淹没，用户体验极差。

危害

1. 主播管控失效：主播失去了“武器”。拉黑本是主播维护直播环境的最后手段，UI 缺失导致该功能形同虚设，主播无法纠正误操作（如误拉黑），也无法监控被拉黑者的动态。
2. 恶意刷屏与精神攻击：攻击者可以利用此漏洞对主播进行“单向输出”。由于主播看不见，无法进行二次拉黑、禁言或踢出操作，攻击者可以肆无忌惮地发送骚扰信息，消耗系统资源，或通过刷屏干扰其他观众（观众能看到）。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：山水SRC 游山玩水 游山玩水《拉黑功能 UI 缺失导致的权限逃逸与恶意刷屏》