0184.并非真正的 403 错误：我如何最终访问了 10 万 Azure AD 用户：我的微软研究院故事

原创

Hamzadzworm
Hamzadzworm

Rsec

2026年7月9日 18:15
贵州

在小说阅读器读本章

去阅读

本文章仅用网络安全研究学习，请勿使用相关技术进行违法犯罪活动。

声明：本文搬运自互联网，如你是原作者，请联系我们！

类型：403绕过

您好，又见面了。

这是 Abdelkader Mouaz，又名 Hamzadzworm。

今天我想分享一份我提交给微软安全响应中心 (MSRC) 的最有趣的报告之一。尽管这份报告最终被归类为 “非漏洞”， 但我认为研究过程本身值得分享。

目标

我受邀参加了一个私人漏洞赏金计划，该公司向我提供了微软凭据，让我测试他们的环境。

像往常一样，我没有只使用一个应用程序。

我开始使用同一个账户登录不同的微软服务，看看有没有什么有趣的东西。

最终，我找到了一个。

当我进入 “用户” 部分时，我看到的内容完全符合我的预期：

403 禁止访问。

于是我开始逐一检查应用程序发出的每一个请求。

过了一会儿，一个请求引起了我的注意。

这是一个权限验证请求。

出于好奇，我直接使用 Burp Suite发送了请求。

结果令我意外。

应用程序没有停止，而是继续加载。

几秒钟后，我看到了一个包含超过 64,000 个 Azure Active Directory 用户的目录。

还有 4 万个已删除用户

我不仅可以浏览用户，还可以查看与每个帐户关联的信息，并导出完整的目录数据并下载。

那一刻，我真的相信我发现了一个严重的授权问题。
所以我把所有事情都记录了下来，录制了概念验证视频，并将报告提交给了微软。

他们的第一反应出乎我的意料。

这是微软的初步应对措施：

还有一件事，在我把这个问题提交给微软之后，他们又加了一条备注：

你怎么认为？

如果一个受限帐户被拒绝访问某个页面，但仍然可以通过操纵自己的客户端请求来访问底层目录，您认为这是一个安全漏洞吗？

我也遇到过类似的 PayPal 问题，稍后我会分享相关经历。敬请期待 -.-

期待听到您的想法和评价。