他是如何靠“复制粘贴”拿到自己第一个$150漏洞赏金的
原文链接: https://mp.weixin.qq.com/s?__biz=MzkxNjc0ODA3NQ==&mid=2247484108&idx=1&sn=f26043e2d959c08efb209fd49798eecc
他是如何靠“复制粘贴”拿到自己第一个$150漏洞赏金的
原创 漏洞集萃 漏洞集萃 2025-07-21 09:12
今天，我们来分享一个漏洞赏金猎人的故事。他通过一个非常巧妙的方法，在一个知名的内容分享平台上，发现了一个“访问控制失效”漏洞，并因此赚到了自己职业生涯中的第一笔赏金——150美元。
这个漏洞的级别虽然不算高，但它却是一个绝佳的案例，完美地展示了：如果一个平台仅仅在前端做限制，而没有在服务端进行严格验证，会带来怎样的安全风险。
下面，我们就来看看他是如何发现这个漏洞的。
他是如何发现的？
在这个内容分享平台上，普通用户（学生）在正常情况下是不能直接给导师或老师发送私信的，除非满足以下几个条件之一：
– 你必须关注了这位导师。
- 或者，你必须是付费会员，购买了这位导师的课程。
然而，故事的主人公发现了一个可以绕过所有这些限制的方法——只需要将一个账户的聊天URL，直接用到另一个账户上。
复现步骤
账户一（已授权用户）：
1. 登录该平台。
-
访问某位导师的个人主页，并点击“关注”。
-
点击聊天图标，此时会进入一个私密的聊天窗口。
-
现在，复制浏览器地址栏中的URL
。 例如：
https://www.redacted.com/api/v3/id/#conversation_abc123
（需要注意的是，这个聊天ID是无法被预测的。）
账户二（未授权用户）：
1. 登录该平台。
-
访问同一位导师的个人主页，但不要
关注他，也不要
购买他的任何课程。 -
将在账户一中复制的URL，直接粘贴到当前浏览器的地址栏，然后按下回车。
-
奇迹发生了！页面直接跳转到了聊天界面，没有任何限制弹窗。现在，你可以在不关注、不订阅、不付费的情况下，给这位导师发送消息了。
技术分析
这是一个典型的访问控制失效
案例。
问题出在哪里？
当用户点击聊天图标时，平台的前端脚本会检查你是否有关联/订阅/购买等权限。如果你不符合条件，前端会弹出一个提示框，告诉你无法发送消息。
但是……如果你跳过点击按钮这一步，直接通过URL访问聊天页面，服务器端并没有对你的权限进行二次验证。
简单来说，就是后端盲目地相信了前端的检查
，从而导致了这个安全漏洞的产生。
这个漏洞为什么很重要？
-
隐私侵犯：
导师可能会收到大量非预期的骚扰信息。 -
绕过付费机制：
平台对其核心付费功能的控制力被削弱，影响商业模式。 -
潜在的垃圾信息与骚扰：
这为恶意用户滥用平台、进行骚扰打开了方便之门。
经验与教训
从这个案例中我们学到的最重要的一课是：无论前端做了什么，真正的访问控制权限，永远都应该在服务器端强制执行。
最终，这位小哥通过HackerOne平台报告了这个问题。经过与项目团队的沟通，他们：
– 确认并接受了该报告。
-
对问题进行了分类处理并成功修复。
-
向他支付了150美元
作为赏金。
觉得本文内容对您有启发或帮助？
点个关注➕
，获取更多深度分析与前沿资讯！
====本文结束====
以上内容由漏洞集萃翻译整理。
参考：
https://medium.com/@BugBountyWriteups/150-broken-access-control-hackerone-bug-bounty-program-my-first-bounty-239aff71376f