从端口复用与API设计缺陷分析登录接口旁路安全认证漏洞

在一次安全授权测试中，我遇到了一个典型的Web登录系统，经过对常规入口（如登录接口）进行诸如撞库、检查API未授权访问等多轮测试后，均未发现可利用的安全风险。

通过测绘平台进一步了解资产信息，发现该主机在其他端口开放了另一个类似功能的登录服务。然而，对新服务的登录接口进行独立测试后，同样未能获得有效进展。

当测试陷入僵局时，一个偶然的交叉测试思路带来了转机：尝试将主端口登录系统获取到的用户凭证，用于访问另一个端口的登录API。这一尝试得到了迥然不同的响应。

经过多次验证比对，发现该端口登录接口的响应内容直接包含了账号是否存在以及该账号的明文密码两个关键参数。利用此接口，攻击者无需知晓密码，仅凭账号即可直接获取密码，从而成功登录系统，包括超级管理员账户。

该案例揭示了在微服务或分布式架构下，由于开发人员疏忽或接口逻辑设计不一致，可能产生危险的认证旁路漏洞。这类问题通常源于对多个服务组件的 接口设计与安全边界 缺乏统一规划与严格测试，属于典型的逻辑缺陷。