CCS 26 | 当越权能力开始“滚雪球”：移动应用标识交换背后的安全陷阱

一次看似普通的用户主页访问，竟可能成为接管他人账号的起点？

在一些移动应用中，一次查询获得的线索，可能成为下一次访问的入口。顺着这些线索一步步深入，原本难以获取的购物记录、家庭住址，甚至整个账号的控制权，都可能落入他人之手。就像滚雪球一样，一个不起眼的授权缺口，可能让越权访问能力不断扩大，最终酿成严重的安全后果。

复旦大学系统软件与安全实验室的研究成果Foot in the Door: Uncovering the Multi-Step Authorization Exploitation in Mobile Applications发表于国际网络安全顶级学术会议ACM CCS 2026，首次系统研究了移动应用中的多步授权利用（MAX）问题，并开发了自动化检测工具，在大规模真实应用中验证了此类漏洞的普遍性及安全危害。

01 | 隐藏的越权风险

现代移动应用通常包含多个业务服务，不同服务往往使用不同的标识符来管理用户资源。例如，在购物应用中，用户可能需要先通过用户 ID 获取订单编号，再利用订单编号查询购买记录。这种通过已有标识符获取其他标识符的方式，被称为跨服务标识交换。

这一机制简化了不同服务之间的资源管理，却也使多个接口之间形成了相互依赖的关系。如果标识交换过程中的某个环节缺乏必要的授权校验，攻击者便可能利用前一步获取的标识符，继续访问后续服务，逐步扩大越权访问范围。

这类漏洞的隐蔽性在于，单独分析每个接口时，往往难以发现完整的攻击路径。例如，前一个接口可能只返回不直接包含敏感信息的订单标识，而后一个接口所需的订单标识又难以直接猜测。传统检测方法通常聚焦于单个接口的越权行为，容易忽略多个接口之间的标识交换关系，从而遗漏这类多步越权风险。

02 | 从普通用户ID到账户接管

1. 伪造用户ID：修改请求中的userid，获取目标用户的openid。

2. 交换访问令牌：利用获得的openid，进一步获取目标用户的token。

3. 访问敏感资源：使用该令牌获取目标用户的个人信息，甚至接管其账户。

03 | 如何自动发现隐藏的多步越权漏洞？

为自动发现隐藏在多个接口之间的MAX漏洞，我们设计了结合静态分析与动态测试的检测工具MAXChecker，主要包含三个阶段：

（1）标识符交换识别。通过静态数据依赖分析，识别不同网络请求之间的标识符传递关系，并构建标识符交换图（IDEG）。

（2）多步攻击构造。根据标识符交换图指导动态探索，构建潜在攻击链，并通过程序切片恢复加密、拼接、签名等参数变换逻辑，生成有效攻击请求。

（3）漏洞动态验证。采用双账户差分测试，判断一个账户能否通过完整攻击链访问另一账户的敏感信息，从而确认漏洞是否真实存在。

04 | 真实移动应用中的安全风险有多严重？

这些漏洞可能导致严重的隐私信息泄露。例如，在部分教育类应用中，攻击者可能获取学生的家庭住址及家庭成员信息；在政务和司法服务应用中，可能越权访问他人的司法文书、驾驶证、结婚证等敏感资料。此外，部分漏洞还允许攻击者篡改他人的业务数据，威胁信息的真实性与完整性。

更严重的是，MAX攻击还可能从数据泄露进一步发展为账户接管。研究发现，34款应用存在账户接管风险，攻击者可能通过多步标识交换获取其他用户的访问凭据，最终控制其账户。

我们已向相关厂商负责任地披露漏洞，截至论文撰写时，获得13家厂商确认，以及14个CNVD和9个CVE漏洞编号。

从一次不起眼的信息查询，到最终触及他人的敏感数据，微小的授权疏漏也可能沿着服务之间的关联不断放大，演变成严重的安全危机。只有跳出单个接口的视角，审视整个访问链条，才能发现那些隐藏在环环相扣的业务流程中的安全隐患，避免薄弱的一环成为整个系统的突破口。

史一哲

华东师范大学软件工程学院晨晖学者，博士毕业于复旦大学，师从杨哲慜副教授。研究方向为智能化软件安全、软件测试等，研究成果发表于IEEE S&P、ACM CCS、NDSS等网络空间安全顶级国际会议。担任USENIX Seucrity等国际会议程序委员会成员。

杨哲慜

复旦大学计算与智能创新学院副教授、博士生导师。研究方向聚焦软件与数据安全保护技术，在IEEE S&P、USENIX Security、ACM CCS、NDSS、TIFS等国际顶级学术期刊会议上发表CCF-A类论文40余篇，多项成果获网络空间安全顶级国际会议焦点论文、杰出论文奖等荣誉。曾获评新耀东方风采人物、上海市技术发明奖一等奖、中国计算机学会科学技术奖二等奖、上海市计算机学会科学技术奖一等奖。带领团队发现六万余项安全漏洞，发现并上报数十个国家级平台重大安全隐患。相关成果影响谷歌、华为、三星、百度、阿里、腾讯、抖音、小米、高通等国内外知名企业及全球数十亿用户，获得国家互联网应急中心"2021年最具价值漏洞奖"，华为安全奖励计划特别贡献奖等奖项。

个人主页：https://yangzhemin.github.io/

联系方式：yangzhemin@fudan.edu.cn