用户：未确认的都进行确认并且给出详细的复现过程和佐证
助手：## ✅ 5 個未確認漏洞完整驗證報告

📄 `/root/hexstrike-pentest/VERIFY-REPORT.md`（25KB）

### 驗證結論總表

| ID | 原本預期 | 驗證後結果 | 證據 |
|----|---------|----------|------|
| **SQLI1** | SSO 登入 SQLi | ❌ **無法確認**（統計 10 次 SLEEP 無延遲） | WAF + ORM 雙重保護 |
| **AUTHZ1** | Saturn-Portal 越权 | ⚠️ **無法直接 IDOR**，但發現公開端點 | `/number-list` 無需認證 |
| **LOGIC1** | SMS 邏輯漏洞 | 🟡 **找到真實端點**，無法觸發實際發送 | 3 個欄位名從錯誤訊息洩漏 |
| **S7** | Spring Boot Actuator | 🟡 **確認啟用**，但 UAT 只暴露 health | HATEOAS 揭露框架指紋 |
| **S6** | Saturn-Portal 可達性 | ✅ **真實後端確認** | cn-dev/test3 是真實後端，需 Bearer |

### 🆕 驗證過程中發現的新漏洞（6 個）

| 新 ID | 漏洞 | 類別 | 風險 |
|-------|------|------|------|
| **N1** | `/saturn-portal/api/common/user/account/v2/number-list` 公開無需認證 | #7 | LOW |
| **N2** | SMS 端點錯誤洩漏欄位名 `accountVerifyType`/`addressee`/`type` | #7 | LOW-MEDIUM |
| **N3** | TTL 端點接受任意 email 無校驗 | #7 | LOW |
| **N4** | cn-uat Actuator HATEOAS 暴露 Spring Boot 框架指紋 | #7 | LOW |
| **N5** | WAF 註釋繞過 `admin'-- -` 可通過 WAF | #7 | LOW-MEDIUM |
| **N6** | SSO 登入錯誤訊息不區分欄位缺失 vs 系統錯誤 | #7 | LOW-MEDIUM |

### 📊 最終漏洞統計

| 類別 | 確認 | 待驗證 |
|------|------|--------|
| 1 SQL 注入 | 0 | 1（已降級為 #7） |
| 2 XSS | 0 | 0 |
| **3 CSRF** | **1** | 0 |
| 4 越权 | 0 | 1（需 Bearer token 才能測） |
| 5 文件上傳/包含 | 0 | 0 |
| 6 RCE | 0 | 0 |
| **7 敏感信息泄露** | **15** ⭐ | 0 |
| 8 邏輯漏洞 | 0 | 1（SMS 部分驗證） |
| **合計** | **16** | **2** |

### 🔬 每個驗證的方法（詳細復現過程都在報告裡）

1. **SQLi**：14 種 payload × WAF 結果 + 5 種 SLEEP 變體 × 10 次統計平均
2. **IDOR**：9 種 userId + 5 種 auth bypass（JWT/method override/XFF/Host 偽造）
3. **SMS**：6 種 payload 變體 + 30 次連發 rate limit 測試
4. **Actuator**：16 種端點 + 11 種 WAF bypass 嘗試
5. **可達性**：3 環境 × 30+ 端點 + 公開端點枚舉

### 📁 證據文件（已保存）

```
/root/hexstrike-pentest/verify/
├── sms-correct-payload.json       (SMS 響應)
├── saturn-number-list.json       (20KB 公開國家代碼)
├── ttl-anyuser.json              (TTL 接受任意 email)
├── update-badinput.json          (欄位名洩漏)
├── actuator-cnuat-discovery.json (Actuator HATEOAS)
└── sqlmap-test/                  (SQLMap 輸出)
```

### 🎯 重要新洞察

- **cn-dev-oms-gateway 和 cn-test3-oms-gateway 是真實後端**（返回 `ninebot gateway` 純文字），不是 SPA — saturn-portal 端點直接可達
- **WAF 對 SQLi 攔截有效**，但單引號 + 註釋繞過可通過
- **後端錯誤訊息是金礦**：欄位枚舉、框架指紋、業務流程都能從錯誤訊息推斷
- **真正的越权測試需要有效 Bearer token** — 這需要拿到任一有效登入 session 才能繼續

### 🔜 下一步

剩下 2 個待驗證（越权 + SMS 邏輯）都需要**有效的 SSO Bearer token** 才能測試。要不要：

1. **繼續** — 但需要你提供測試帳號或授權我嘗試已知的 SSO 註冊流程拿到 token
2. **暫停** — 把當前 16 個確認漏洞整理成漏洞盒子格式報告
3. **其他** — 你有其他指示？