参数绑定漏洞

原创

游山玩水
游山玩水

山水SRC

2026年10月20日 08:57
河南

去阅读

免责声明

本公众号分享的所有渗透测试技术文章仅面向合法授权的安全测试、学习交流与研究用途。读者必须确保自身行为符合《网络安全法》等相关法律法规，严禁将其用于任何未授权攻击等非法活动。因不当使用或传播相关内容所引发的任何法律责任与风险，由行为人自行承担，本公众号（或本人）概不负责

前提

技术性描述

① 应用存在一个POST接口（如修改个人信息、申请加入等），且该接口的响应中会返回当前对象的多项属性或字段名称。

② 后端使用自动绑定机制，直接将请求参数映射到数据模型或实体对象属性，且未设置允许绑定的字段白名单，也未过滤敏感字段。

③ 攻击者通过抓取响应包获取字段名，并在POST请求中附加这些额外字段名及任意值，若后端未校验字段是否为当前用户可修改范围，则会被一并绑定并写入数据库。

通俗易懂

① 网站有一个表单提交功能，比如填个人资料或申请加入，服务器返回时会把很多内部字段名一起带出来。

② 攻击者把这些内部字段名加进自己的提交请求里，多塞几个字段，比如“身份”“余额”“管理员开关”。

③ 如果服务器偷懒，只按字段名自动存数据，不检查哪些能改，攻击者就能把敏感字段也一起改掉。

测试流程

1. 抓取目标POST请求（如修改个人信息），记录响应包中返回的全部参数名，例如邮箱、头像、角色、状态、管理员标记等。
2. 在原始POST请求中，额外添加这些敏感字段及测试值，如角色设为管理员、状态设为已审核、余额设为100000。
3. 发送修改后的请求，观察响应中这些字段是否被接受或返回值发生变化。
4. 通过查询个人信息接口或尝试访问对应敏感功能，确认被修改的字段是否已生效。
5. 若普通用户能成功修改本无权访问的字段，即确认批量赋值漏洞存在。

危害

1. 攻击者可修改权限字段（如角色、管理员状态），实现垂直越权，获取管理员权限。
2. 可篡改账户余额、订单金额、积分等业务数据，造成直接资金损失或交易欺诈。
3. 可修改审核状态、申请名单等字段，绕过业务审批流程，破坏业务规则。