如何进行星巴克隐私数据泄露的Hackerone漏洞分析

来源：恒创科技编辑：恒创科技编辑部

2024-02-10 08:25:59

这期内容当中小编将会给大家带来有关如何进行星巴克隐私数据泄露的Hackerone漏洞分析，文章内容丰富且以专业的角度为大家分析和叙述，阅读完这篇文章希望大家可以有所收获。

内容介绍

某个沉闷的夏日午后，Sam Curry在Verizon Media公司的漏洞众测项目中尝试了快一天，啥也没发现，于是，他决定先放放，做点其它事。哦，对了，朋友生日就要到了，去星巴克官网买个礼物送给她吧。

访问星巴克官网的时候，Sam无意间发现了大量API交互，他忍不住动手测试了一把，这一测就发现了漏洞线索。在星巴克官网名为/bff/proxy/的API接口下，Sam先发现了路径/bff/proxy/orchestra/get-user可以返回自己的注册信息，之后Sam对/bff/proxy/orchestra/get-user/../做了字典枚举，但无奈都返回了404状态。但这至少说明了，和服务端交互是可行的，接下来只需找到正确的路径即可。