Hello there, ('ω')ノ
削除済みの機密文書にアクセスする方法を。
脆弱性：
プライバシーの問題
記事：
データ漏洩：
セキュリティに関しては、「データ」が非常に話題になっていて。
企業が「顧客データ」をどのように保管および処理するかについては常に議論があり。
この議論を解決するために、さまざまなコンプライアンスと規制が明らかになり。
今回は、機密データを取り扱うことの重要性と。
慎重に廃棄することの重要性に焦点を当てていて。
KYC 用のドキュメントを。
アップロードするオプションがあるアプリケーションを見つけ。
ウェブサイトにアップロードできる書類は。
Aadhar カード、PAN カード、運転免許証、パスポートで。
これらの文書は本質的に「機密」であり、取り扱いには細心の注意を払う必要があり。
Web サイトを侵害するためにいくつかの攻撃を試みましたが、成功せず。
Web サイトで PII データがどのように処理されているかを分析してみることに。
ダミー画像をアップロードして、リクエストをキャプチャすると。
リクエストは次のようになり。
画像がアップロードされると、サーバはアップロードされた画像のリンクを。
含む成功応答を返、以下のスクリーンショットに示されて。
ここで、奇妙なことに気づき。
画像は S3 バケットにアップロードされ、いくつかの Amazon ヘッダが含まれていて。
ファイル名をメモすると 「022eae」で始まり「fd55」で終わり。
URL にアクセスしてみると。
(上記のスクリーンショットで強調表示されている URL のみ)
ドキュメントは一般公開されていて。
誰かが「パスポート」または「その他の機密」文書をアップロードしたと。
想像してみると。
フロントエンドでは、アップロードされたドキュメントが表示され。
次に、ドキュメントを削除して、UI からのみ削除されるか。
サーバからも削除されるかを確認してみると。
削除リクエストをキャプチャしたところ、次のようになり。
アップロードされた画像には「ドキュメント ID」が関連付けられていて。
リクエストを転送し、応答を待ち。
応答は、以下のスクリーンショットに示されて。
削除されたファイルのファイル名に注意すると。
アップロードしたファイルと同じで。
（「022eae」で始まり「fd55」で終わる）
アップロードされたドキュメントを正常に削除したことは明らかで。
UI上でのみ削除されたのか、サーバからも削除されたのかという問題になり。
サーバから削除されたかどうかを確認するために。
アップロードされたドキュメントの URL 全体を再度貼り付けてみると。
ドキュメントはまだサーバに存在していて。
フロントエンドだけ消えて。
「022eae」で始まり「fd55」で終わる同じドキュメントであり、公開されていて。
ビジネスへの影響：
ユーザがドキュメントを削除したと考えているが。
ドキュメントは S3 バケットで引き続き利用可能であり。
認証なしでアクセスできるというプライバシー違反で。
ユーザのプライバシ侵害で。
ヒント：
必ず最新情報を入手して。
オンラインでコンプライアンスに関する情報を読んでいなかったら。
このことは頭に浮かばず。
すべてが脆弱で。
脆弱な点を見つけるには、ある程度の知識が必要で。
Best regards, (^^ゞ
