This Overlooked Bug Leads to Full Account Takeover (Client-Side Path Traversal)
三句話摘要
Client-Side Path Traversal (CSVD) 漏洞——通過修改 URL 參數中的路徑片段，誘導應用程式發送請求至非預期的 API 端點，進而改變受害者帳戶郵箱實現帳戶接管。 Client-Side Path Traversal 不通過伺服器端漏洞而通過客戶端瀏覽器正常化機制實現，是被掃描工具忽視卻威力巨大的漏洞，防禦的關鍵在於前端不應直接將使用者輸入拼接進 API 路徑，而應使用受限的列舉值或在伺服器端驗證路由。 漏洞根源：應用程式前端直接將使用者輸入的 `product` 參數值拼接進 API 路徑 `/api/products/{product}/similar`，未經驗證即發送請求。此行為使攻擊者可控制 API 呼叫的目標路徑。
重點整理
重點- 1
漏洞根源：應用程式前端直接將使用者輸入的 `product` 參數值拼接進 API 路徑 `/api/products/{product}/similar`，未經驗證即發送請求。此行為使攻擊者可控制 API 呼叫的目標路徑。
- 2
瀏覽器正常化機制：瀏覽器會自動處理 URL 中的 `../` 片段，每個 `../` 使路徑向上一層目錄，這是 RFC 標準行為。攻擊者在惡意參數中植入 `../` 序列，利用此機制改變最終請求路徑。
- 3
攻擊流程：構造包含 `../` 的 payload 使路由指向 `/api/account/change-email`，瀏覽器正常化後路徑改變，郵箱修改請求自動使用受害者的 Cookie 執行，無需額外認證。
- 4
前綴路由防禦失效：服務器採用前綴匹配判斷路由，即使請求末尾有多餘的 `/similar`，只要路徑起始符合則照常處理，無法阻止此攻擊。
實用技巧與重點
乾貨- 漏洞類型：Client-Side Path Traversal (CSVD)，與伺服器端路徑遍歷不同，完全在客戶端通過瀏覽器正常化發生
- 相關 API 端點：
- `/api/products/{product}/similar`（查看相似產品）
- `/api/account/change-email?new_email=xxx`（修改郵箱）
- 關鍵參數：`product`、`new_email`、`old_email`
- 攻擊 Payload 構造：`http://localhost/shop.html?product=../../api/account/change-email?new_email=attacker@example.com&`
- 瀏覽器正常化規則：`../` 每個片段移除上層路徑，`../../` 移除兩層路徑
- 認證機制：僅依賴 Cookie，無 CSRF Token、簽名驗證或其他認證機制
- 伺服器路由邏輯：使用前綴匹配，`/similar` 後綴即使多餘也被忽略
- 已知賞金等級：四位數（USD 1000+）
結論
結論“Client-Side Path Traversal 不通過伺服器端漏洞而通過客戶端瀏覽器正常化機制實現，是被掃描工具忽視卻威力巨大的漏洞，防禦的關鍵在於前端不應直接將使用者輸入拼接進 API 路徑，而應使用受限的列舉值或在伺服器端驗證路由。”
完整解析
詳細該漏洞的核心在於應用程式前端架構的一個看似無害的設計缺陷。當使用者在產品頁面點擊「檢視相似產品」時，應用程式會構造一個 API 請求 `/api/products/{product}/similar`，其中 `{product}` 直接來自 URL 參數。在查看 JavaScript 程式碼時可發現，該參數值被直接拼接入 API 路徑中，未經任何驗證或清理，應用程式隨後發送此請求。
攻擊者利用瀏覽器對 URL 的標準正常化行為實施攻擊。瀏覽器在處理 URL 時會自動移除 `../` 等路徑片段，這是 RFC 規範要求的安全機制。攻擊者將 `../` 序列注入 `product` 參數中，瀏覽器接著移除這些片段，導致最終請求路徑指向預期外的 API 端點。例如，原本應請求 `/api/products/../../api/account/change-email` 的惡意參數，經過瀏覽器正常化後變成 `/api/account/change-email`。
具體構造上，攻擊者設計一個包含郵箱修改 API 路徑和目標郵箱的 payload，誘使受害者點擊包含此 payload 的連結。當受害者點擊時，瀏覽器自動在請求中附加受害者自身的 Cookie，應用程式接收到正常化後的請求，以為這是合法的來自受害者的郵箱修改請求，遂執行修改操作。由於應用程式的路由採用前綴匹配——即只檢查路徑是否以特定字串開頭——即使請求末尾因應用程式邏輯而帶有 `/similar`，伺服器仍會處理該請求。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
