没有爆破、没有注入，一个空参数就够了

原创

pippybear
pippybear

安全无界

2026年6月22日 20:30
上海

在小说阅读器读本章

去阅读

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

这是之前的一次授权安全渗透，目标是一个监管小程序，也是挺久没有测小程序了，话不多说，直接开始正文。

直接在微信中找到对应小程序，查看功能情况。

点击进入小程序，发现功能确实单一，似乎就一个反馈功能和反馈查询功能。这任务简单呀，很快就能搞定。就喜欢这种任务了，而且客户还没有那种必须出洞的要求。

简单的在提交反馈功能处测试了一下文件上传和IDOR，似乎都没有，那就再简单看看反馈查询功能就可以打完收工啦。

这里似乎只需要输入反馈时填写的手机号即可，也没有啥验证码之类的。不管了，先输入任意手机号抓包看看。

还真是简单呀，估计不出意外应该也没有啥频率限制，简单试了一下，果然～可遍历手机号（这个也不难，找到这个系统服务的核心城市区域的手机号段，然后就遍历个几位即可），这里就不做陈述。

最后看看置空手机号试试（每次这种场景都会稍微来一下，而且大部分情况都没有令我失望，大部分都只是前端做了一个空入参校验，后端则没有进行任何安全限制），结果还真是一如既往的，直接响应了系统所有的反馈内容。