登录即注册导致的幽灵组织成员漏洞

原创

游山玩水
游山玩水

山水SRC

2026年10月10日 09:18
河南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

免责声明

本公众号分享的所有渗透测试技术文章仅面向合法授权的安全测试、学习交流与研究用途。读者必须确保自身行为符合《网络安全法》等相关法律法规，严禁将其用于任何未授权攻击等非法活动。因不当使用或传播相关内容所引发的任何法律责任与风险，由行为人自行承担，本公众号（或本人）概不负责

前提

技术性描述

① 系统采用登录即注册机制，用户使用未注册身份完成身份验证后会自动创建新账号；用户删除账号后，使用同一身份凭证再次登录会生成全新的账号ID，与旧账号数据完全隔离。

② 组织邀请记录仅与身份标识绑定，而非与具体账号ID强关联；B删除账号时，系统未级联删除或失效其未接受的邀请。

③ B重新登录生成新账号后，接受旧邀请时系统仅校验邀请有效性，未校验邀请对象与当前账号ID是否一致，也未将该成员同步纳入所有者的可见成员列表和权限管理范围，形成“有权限但不可见”的幽灵成员。

通俗易懂

① 系统有“一登录就自动注册”的机制，删号后重新登录，系统会发一张全新的“身份证”，和以前完全没关系。

② 但是之前邀请你进组织的“邀请函”还在，删号时没有一起作废。

③ 你拿新身份点“接受邀请”，系统直接放你进门，给你编辑权限，可是组织老板的成员列表里根本看不到你，你就成了隐身成员。

测试流程

1. 准备所有者A和组织G，使用未注册身份B或已有账号B接受A发出的加入邀请，确认B进入组织G并具有编辑权限，且A能看到B。
2. B删除自身账号后，使用同一身份凭证重新登录，确认系统自动生成了新账号ID。
3. 使用新账号访问原邀请链接或直接调用“接受邀请”接口，尝试接受未清理的邀请。
4. 观察新账号是否成功加入组织G并获得编辑权限，同时检查所有者A的成员列表中是否能看到B。
5. 若新账号成功进入组织且拥有编辑权限，但A的成员列表不可见，即确认幽灵成员漏洞存在。

危害

1. 被删除的成员可通过“重新登录+旧邀请”重新进入组织，且所有者无法察觉，造成组织成员关系失控。
2. 幽灵成员拥有实际编辑权限，可查看、修改、删除或导出组织内部数据，导致数据泄露与完整性破坏。
3. 账号删除本应视为访问权终止，实际却因邀请未清理而重新获得权限，破坏账号生命周期管理及审计记录的可信度。
4. 该漏洞可被反复利用：即使管理员将幽灵成员移出或再次删除，只要旧邀请记录未清理，攻击者仍可注销重登并重新加入，形成持久性后门。