2026-10-22 12:34:11 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

某系统200万信息泄露

原创

zkaq-诚信友善
zkaq-诚信友善

掌控安全EDU

2026年10月20日 13:45
江西

去阅读

扫码领资料

获网安教程

本文由掌控安全学院 - 诚信友善投稿

来Track安全社区投稿~

千元稿费！还有保底奖励~（ https://bbs.zkaq.cn ）****

本文所述漏洞测试流程与技术细节，仅用于网络安全领域的经验交流与防御技术研究。文中所涉及的所有系统漏洞，均已在披露前完成修复。严禁任何个人或组织将文中技术用于未授权系统的攻击、入侵或破坏行为。任何因违反此声明、擅自利用相关技术而引发的法律责任及不良后果，均由实际操作者自行承担，与本文作者及发布平台无关

测试过程总结

三个洞全是抠前端JS抠出来的，都没咋费劲。先是 admin.xxxxx.js 里看到 uploadFiles 方法，找出上传接口是 POST /api/file/?type=&appId=、字段名 files，直接传了个svg-xss上去就弹了存储型XSS；接着又在 admin.xxxxx.js 里读到文件列表接口 /api/file，发包拿到100条索引，里面有手机号身份证等信息，total直接324790条，换成type=file 直接146万条文件索引；最后顺着同一份JS里的低代码契约把 /api/form/data 恢复出来，588条姓名身份证到手，导出接口 /api/form/data/export 还能整表拖走。

一、存储型xss

通过查看完整前端脚本http://xxxx.xxxx.edu.cn/static/js/admin.xxxxx.js

里面 uploadFiles:function(e,t){return Ht(\"/api/file/?\".concat(querystring(e)),{data:t,method:\"POST\"})} 且 fileName 默认 \"files\"，于是知道上传接口是 POST /api/file/?type=&appId=、multipart 字段名 files

构造上传请求数据包，上传svg-xss图片内容

上传成功访问文件地址，成功出发存储型xss

二、200万条学校上传信息泄露

又在 http://xxxx.xxxx.edu.cn/static/js/admin.xxxxx.js 里读到文件组件用 Ht(\"/api/file\",{params:t}) 读文件列表

构造读取请求数据包，发包成功获取100条文件索引数据，其中userid含手机号、身份证号等敏感信息

total显示324790条

请求索引地址获取到学生的证件照：

把请求中的type=image更换为type=file发请请求

获取了1460678条上传的文件索引

随意请求一个索引地址，成功下载表格文件：

三、未授权获取588条身份证信息

从 http://xxxx.xxxx.edu.cn/static/js/admin.xxxxx.js 读到低代码表单数据读取契约（源码里用 Ht(\"/api/form/data\",{params:t}) 拉表单列表，用 exportFormData:function(e,t){...It(\"/api/form/data/export/\")...arrayFormat:\"repeat\"} 导出表单数据）