拉黑功能 UI 缺失导致的权限逃逸与恶意刷屏

原创

游山玩水
游山玩水

山水SRC

2026年8月18日 09:15
河南

在小说阅读器读本章

去阅读

免责声明

本公众号分享的所有渗透测试技术文章仅面向合法授权的安全测试、学习交流与研究用途。读者必须确保自身行为符合《网络安全法》等相关法律法规，严禁将其用于任何未授权攻击等非法活动。因不当使用或传播相关内容所引发的任何法律责任与风险，由行为人自行承担，本公众号（或本人）概不负责

测试流程

测试前提

1. 平台存在“拉黑”功能，主播可以将特定用户加入黑名单。
2. 拉黑后的逻辑为：被拉黑用户仍可以发送评论，但该评论对主播不可见（即“仅自己可见”或“仅其他人可见”）。
3. 关键缺失：主播端的管理后台或直播间设置中，缺少“已拉黑用户列表”的查看/解除入口。
4. 系统未对被拉黑用户的发送频率进行额外限制（如拉黑后禁言或大幅降频）。

测试流程

1. 建立测试环境：使用一个普通账号（攻击者视角）进入某主播的直播间。
2. 触发拉黑：让主播执行拉黑操作，将测试账号拉黑。
3. 验证可见性隔离：

• 用测试账号发送一条特征评论（如“Block Test 001”）。
• 切换回主播视角：确认评论流中不显示该消息。
• 切换回测试账号：确认自己仍能看到这条消息（确认只是“屏蔽”而非“禁言”）。

4. 验证 UI 缺失：

• 主播在后台、APP 设置、粉丝列表、黑名单管理等所有可能位置查找，确认无法找到被拉黑用户的列表，也无法对其进行“解除拉黑”或“禁言”操作。

5. 验证刷屏危害：

• 测试账号开启自动化脚本（或手动快速点击），持续发送大量垃圾评论（如刷屏、广告、辱骂词）。
• 观察主播端：屏幕清爽，无感知；观察路人端：评论区被垃圾信息淹没，用户体验极差。

危害

1. 主播管控失效：主播失去了“武器”。拉黑本是主播维护直播环境的最后手段，UI 缺失导致该功能形同虚设，主播无法纠正误操作（如误拉黑），也无法监控被拉黑者的动态。
2. 恶意刷屏与精神攻击：攻击者可以利用此漏洞对主播进行“单向输出”。由于主播看不见，无法进行二次拉黑、禁言或踢出操作，攻击者可以肆无忌惮地发送骚扰信息，消耗系统资源，或通过刷屏干扰其他观众（观众能看到）。