近期由代理安全平台 Reco 發布的研究揭露，自 2025 年以來，一名攻擊者利用單一基礎設施，針對多家企業的 Salesforce 與 ServiceNow 客戶端門戶（Customer Portals）進行大規模的數據抓取。這場被命名為 City Forum 的攻擊行動，其目標橫跨電信、銀行、金融服務、企業軟體供應商（包含安全與數據隱私公司）以及公共部門。
這類攻擊的核心不在於利用軟體本身的程式碼漏洞（Bug），而是在於對 SaaS 平台「預設權限設定」的濫用。
背景：SaaS 門戶的訪客身分機制
在 Salesforce Experience Cloud 或 ServiceNow 的門戶網站中，為了讓未登入的外部訪客能瀏覽公開資訊（例如 FAQ 或產品目錄），系統會維持一個持久的「訪客使用者（Guest User）」身分。當任何未經身分驗證的訪客訪問網站時，系統會自動以這個訪客身分的權限來執行操作。
關鍵問題在於，這個訪客身分無法被刪除，只能被限制。如果管理員在設定時，不小心賦予了訪客身分過高的讀取權限（例如允許讀取某些敏感的資料物件或欄位），那麼即使網站前端界面要求登入才能查看，攻擊者只要直接透過 API 請求，就能在無需密碼的情況下獲取這些數據。
核心內容：City Forum 的攻擊手法與技術路徑
根據 Reco 的分析，這次攻擊的所有請求均來自德國 Contabo 提供的單一 VPS 伺服器（IP：158.220.87.79）。該攻擊者並非使用瀏覽器，而是使用 Go 語言的 net/http 函式庫編寫的專用程式，因此所有請求都帶有明顯的 Go-http-client 標記。
在 Salesforce 平台上，攻擊者採取了雙管齊下的策略。首先，他們利用較舊的 Aura 框架發送大量請求來枚舉資料物件，部分目標甚至記錄了超過 56 萬次的事件。其次，攻擊者還針對較新的 Lightning Web Runtime 網站，透過 UI-API（一種數據層介面）進行掃描。值得注意的是，UI-API 目前缺乏公開的掃描工具或詳細的分析報告，但該攻擊者已能熟練地按順序調用 v56.0 到 v66.0 等多個 API 版本來提取數據。
除了 Salesforce，該攻擊者同時也針對 ServiceNow 的服務門戶（Service Portal）發動攻擊。他們利用一個幾乎沒有公開文件的原生搜尋端點（POST /api/now/sp/search）來抓取資訊。這種跨平台的攻擊能力顯示，攻擊者對主流 SaaS 平台的底層 API 結構有深厚的理解。
技術解讀：偵測與防禦路徑
由於 UI-API 和 ServiceNow 的搜尋端點在功能上是正常運作的，因此單純封鎖端點並非正確做法。防禦的核心應放在「權限最小化」的原則上。
針對 Salesforce 的防禦，企業應檢查訪客共享規則（Guest Sharing Rules），移除訪客身分中不必要的物件與欄位存取權限，並關閉 Experience Builder 中允許訪客存取公開 API 的設定。在偵測方面，若有部署 Event Monitoring 或 Shield，可搜尋 AuraRequest 與 Sites 日誌中包含 Go-http-client 字樣的請求，或監控 /webruntime/api/services/data 路徑的異常流量，以及 /SiteRegister 等自我註冊頁面的請求峰值。
針對 ServiceNow 的防禦，管理員應審核知識庫（Knowledge Base）的讀取標準，明確定義哪些內容應對匿名搜尋開放。在偵測上，可透過篩選 syslog_transaction 交易日誌表，找出來源 IP 異常且請求路徑為 /api/now/sp/search 的紀錄，尤其是那些輸出長度異常的請求，這通常是數據抓取行為的明顯信號。
影響與限制
City Forum 攻擊行動揭示了現代企業在雲端轉型中常忽略的「影子權限」問題。許多企業在設定 SaaS 門戶時，為了方便開發或快速上線，往往會給予訪客身分過寬的權限，導致敏感數據在無意中對全球公開。
目前的限制在於，由於這類行為在日誌中看起來像正常的 API 請求，若缺乏主動的監控機制，企業很難在數據被大規模抓取前發現異常。Reco 指出，該攻擊基礎設施目前依然活躍且流量持續增長，這意味著更多配置不當的 SaaS 門戶仍處於風險之中。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。