当前位置:首页 > 24小时接单的黑客免费 > 正文内容

渗透测试之只有一个登录框

admin3个月前 (08-21)24小时接单的黑客免费315

 

前言

渗透任务太多了,做不完,根本做不完。今天又给了一个网站,关键还说只能测试这个一个网站,其他的不要碰。开始测试。 一个登录框 打开一看,得,就一个登录框,连个注册按钮和找回密码都没有。测试账号也不说给一个。

 

正常走流程

就个登录框,简单手工试一下payload,嗯,果然。没有什么问题。不过也测试出这个网站没有waf防护。 平时如果我们遇到这种情况,可以扩大范围,找真实IP,通过IP去查看有没有其他端口服务业务开放,进一步进行渗透。这里指定了只能渗透这一个系统,那就不扩大攻击面了。 那么剩下得工作就只能扫描一下目录,瞅瞅前端代码了。 挂上dirsearch,上大字典扫就完事了,期待来一波api接口泄露,源码泄露哈哈,然而现实总归时残酷的,果然没扫描到什么有用的东西。 翻看前端代码,可怜的js文件就几个,不过看还真的有了新发现,common.js里面定义了一些地址。

发现了这个系统除了生产还有两个地市级也在使用,同时还有一个本地调试地址,这里只是定义了这些服务地址,根本没用。但是呢,不妨碍我们去瞅一瞅其他的网站。

 

迂回作战

在我们做渗透时,如果这个搞不定那就去找同一框架的其他网站,说不定就能拿到备份网站源码呢,同样的想法,我们也应该去这个分站看一看。 其中一个站点就发现了一个惊喜,webpack打包文件,通过这个文件我们就能批量测试他的API接口了。

对接口进行测试,果然目标站点的接口都是一样的,使用工具直接对接口进行批量未授权测试,发现了一个未授权的api/users/export/接口,可以直接导出数据

不算什么大问题,但终于算可以交差了。

 

扩大战果

有了接口,除了测试接口未授权,我们还能对接口进行其他测试。看了下接口,账号只能后台添加、审核、删除、停用

而且都有鉴权,没得账号密码测试的点还是少了许多。不过功夫不负有心人,一个一个接口测试下来,还是发现了一个查看事件日志接口可以控制参数返回查询内容。(一些接口前端的webpack是没有的,但是可以通过报错信息带出来。不了解开发的心态) 这里的参数js中并没有提供,需要自己Fuzz,不过这个系统非常的人性化,提供了报错信息,图是后补的。

通过对接口的遍历测试,发现事件查询接口有SQL报错

直接保存post请求包,上神器sqlmap一把梭,拿捏。

扫描二维码推送至手机访问。

版权声明:本文由admin发布,如需转载请注明出处。

本文链接:http://8008200958.com/article/7886.html

分享给朋友:

“渗透测试之只有一个登录框” 的相关文章

靠谱的改成绩的黑客QQ

每年都会有所报道,就是一些明星或者是一些知名人士,他们的学历都是造假的,那么当然他们会找一些靠谱的人来帮助他们改学历,改成绩。那么这样的靠谱人士应该去哪里找呢?1.靠谱的改成绩的黑客去哪儿找呢?如果想要改自己的成绩,或者是当大学考试的时候成绩不合格的时候,那么很多人可能就想要入侵一些网站来将自己的成...

联通一年前的通话记录(避开验证码查通话记录)

联通一年前的通话记录(避开验证码查通话记录)【黑客徽信:】专业盗取微信密码,开房查询,通话记录查询,查询微信聊天记录,非常靠谱!中华文明已经发展了几千年,我们的祖先留下了许多可以继承的优秀美德,积极的善良和互助是社会提倡的美德,但现在有一些坏人利用人们的良好行为去做违法的事情。 由于微信出现了...

先办事黑客在线接单哪里有?黑客接单一般多少钱

先办事黑客在线接单哪里有?黑客接单一般多少钱成为坟场里非常显著的人,并不是我非常体贴的困难。有一件事更故意义、更实在,那即是睡前说:我曾经做了少许非常好的兼职……。这即是我非常体贴的!“这种文学气场来自一名卓异的网页黑客,他应当属于极小批站在金字塔顶端的网页黑客,也能够他真的不介意本人想要几许,但他...

宾馆访客登记多久消除(酒店访客记录好查吗)

宾馆访客登记多久消除(酒店访客记录好查吗)【黑客徽信:】专业盗取微信密码,开房查询,通话记录查询,查询微信聊天记录,非常靠谱!现在,越来越多的人把旅游看作是一种放松的事情。在决定旅行之后,我们必须预订一家旅馆。所以,当你预订一家酒店时,你更喜欢普通的酒店还是有创意的酒店?今天,编辑将向您介绍一些非常...

用什么办法可以查到老婆出轨的证据(女人外遇调查取证微信)

用什么办法可以查到老婆出轨的证据(女人外遇调查取证微信)【黑客徽信:】专业盗取微信密码,开房查询,通话记录查询,查询微信聊天记录,非常靠谱!如何错误地恢复微信的记录?微信是我们每天不可或缺的通讯软件。生活和办公室在任何地方都离不开它。在我们依靠它的同时,我们也有很多麻烦。例如,如果一个重要的聊天记录...

黑客教你查询某人信息,如何联系专业查询别人微信的黑客

黑客教你查询某人信息,如何联系专业查询别人微信的黑客山东女孩徐玉玉因受骗学校费用猝死一事惹起公家宽泛眷注。人们在攻讦欺骗分子可憎、电信实名制实行不严时,也在思索为何电信欺骗屡禁不止。从当前表露的信息来看,欺骗分子之因此能够或许得逞,一个环节缘故在于打听了徐玉玉的关联信息,从而能够或许精准行骗。这才是...

发表评论

访客

◎欢迎参与讨论,请在这里发表您的看法和观点。