Skip to content
靠隐蔽换不来安全
netspi.com | 博客 | #privilege-escalation | #web-security | #user-management | #security-through-obscurity | #predictable-identifiers
摘要
用户编辑页里被 display:none 隐藏的 ContactId 看似随机，实则加密方案固定：首尾 10 位不变、中间 5 位可预测。借此可枚举并篡改超级管理员账户，正应了「隐匿不等于安全」。
- 发布时间
- 收录时间