信息漏洞的危害涉及到企业和用户，一直以来都是高风险的问题，本文章就两个方向进行讲述挖掘信息泄露的那些思路。
Web方面的信息泄露
0x01 用户信息泄露
①：评论处
-
一般用户评论处用户的信息都是加密的，比如显示的是用户手机号或邮箱等，就会直接对中间的一段数字进行加密，但是有些可能就没有加密，而是直接显示出来，那么这就造成了用户信息泄露问题。
-
如果加密不当，直接游览用户评论处时进行抓包，然后查看返回包就可以直接看到明文，但有的时候会有2个参数，就比如name：1333******1这个值是加密的，但后面还会有一个testname这个参数就没有进行加密，从而导致用户信息泄露。
这里有一些小技巧，就比如一个买卖市场，他有用户评论的地方，有一个秒杀抢购成功的展示用户的地方，还有一个是用户相互交流的地方，一般白帽子测试了第一个功能处发现不存在问题，然后就不继续测试其它相同功能处了，这个疏忽就可能会导致错过一个发现问题的机会，每个功能处，加密机制有时候就会被漏掉，就比如用户评论处用户信息加了密，但是秒杀抢购成功的展示用户的地方却没有加密，所以白帽子要更细心点。
-
一般评论处都会有一个追加评论功能和一个商家回复功能，那么此时如果对这个功能参数没有加以加密，那么通过抓包游览查看返回包就可看到追加评论的用户信息和商家信息。
-
有些评论功能当中支持艾特(@)他人，那么在这个评论当中你通过@他人，然后输入信息点击发送到评论处时，通关抓包就可看到刚刚@的那个用户的明文信息。
-
当这个网站评论地方被搜索引擎爬虫到了，那么可以尝试利用搜索命令site:XXXX.com inurl:XX目录在搜索引擎当中搜索，如果加密不完全，那么就可以在搜索引擎当中看到明文信息。
关于这类的信息泄露问题我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0104766.html
②：转账处
-
很多大型公司都有自家的金融平台，然后在转账处，当你输入对方的转账的账户，比如手机号或者邮箱，然后当你点击其它地方，它会向服务器发送一条验证信息，验证输入的此账户是否存在，如果存在，返回对应的手机号或者邮箱账户的用户姓名，比如*王（1333333XXX）这样的返回信息，那么如果此时前端加密不当，可以通过抓包拦截这条请求，查看返回信息，就可看到明文的姓名。
关于这类问题，我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0124969.html
-
一般在转账处输入手机号或邮箱账户的旁边，有一个历史转账信息，一个迷你的小页面，当你点击后会看到之前转账成功的信息，但是，如果此页面加密不全，那么在点击查看历史转账信息时直接抓包查看返回内容就可看到明文的姓名。
③：搜索处
-
有些平台内置了搜索功能，跟搜索引擎思路很像，同样也是随意搜索，如果此时搜索的结果包含用户信息这块，那么就可能会导致用户信息泄露问题。
关于这类问题，我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2014-069909.html
④：个人页面处
-
在个人页面当中，直接游览时直接抓包，查看返回包就可看到用户信息是否未加密完全。比如一些金融APP，如果加密不当，当点击个人界面时通过抓包查看返回包就可看到明文的身份证信息和用户名以及手机号。
当然这里不是只有涉及金融APP方面的才会有这个问题，只要是可以查看个人页面处都可能存在。
-
在查看银行卡信息那里，一般都是加了密的，但查看银行卡信息处时进行抓包查看返回包的时候就可看到明文的银行卡卡号信息和姓名信息。
⑤：客服处
-
这个问题属于客服安全方面意思不足，大一点的来看就是公司没有对客服进行安全培训等，当你询问客服某手机号对应的姓名时，客服就会直接把姓名发你，当然这要考验你是怎么问的了，还有如果失败了不要放弃，换一个客服继续测试。
‘
越权方面的用户信息泄露
①：任意查看
-
很多平台需要进行实名制认证，在上传实名制所需要的身份证照片等信息图片时，如果没有对所产生的文件名格式进行复杂化的话，那么极有可能会存在任意查看，通过批量的方式就可以进行这些步骤，比如你上传了图片，服务器生成的图片地址是XXX.com/xxx/xx/012313.jpg这样短的数字格式文件名的话，就会存在该问题。
-
购物平台当中，在添加地址或修改地址的地方，如果权限没过滤好，就可以越权进行查看任意用户的地址信息。
-
在某些平台当中，支持添加子账户，然后随便添加一个子账户，然后在查看该子账户的时候进行抓包，修改其ID值，就可以查看任意账户信息
-
有些平台有操作日志或其它日志功能，那么如果此时对当前用户的权限过滤不当，那么就可以查看全部用户操作时产生的日志，从而导致信息泄露。
-
在很多金融平台当中，在修改昵称那里或者查看个人信息那里，提交时抓包，修改其用户值为存在用户的任意值，那么就可能造成查看任意用户信息的问题。
-
如果你进入了一些内部员工平台，那么如果具有搜索功能，就比如你输入了员工工号然后它会返回这个员工的所有在职信息，那么此时你可以通过抓包批量进行提交员工工号，就可造成大范围的信息泄露。
-
随便买一个东西生成订单，如果此时权限控制不当，就可以越权查看到任意用户的订单，那么信息也自认而然的泄露出来了。
关于这方面，我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2014-083157.html
②：任意重置
-
如果权限控制不当，可导致任意用户密码修改的话，那么登录后就可查看该用户的任意信息，这也就导致了用户信息泄露。
③：任意修改
-
在下单的时候修改其用户ID为任意存在用户的ID，然后下单，然后查看刚刚下单的信息，就可看到该用户的收货地址信息，只要对方设置了收货地址。
接口方面的用户信息泄露
-
很多业务网站在上线的时候都忘记把测试时的接口进行关闭，从而导致这个接口可以查询大量用户信息。那么此类接口怎么找呢？
其中之一的方法通过Github.com网站进行搜索相关域名进行查找。
关于这类问题，我找到了相关例子：http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0116563.html
注入方面的用户信息泄露
-
注入可以说是非常非常的严重，因为注入往往都能得到很多信息，如果没做好相关过滤以及防护，就可导致注入，从而数据库内的各种数据面对裸露的危险。