本文由掌控安全学院 - 老板来一份烧鹅饭 投稿
还是老样子,打开谷歌镜像,搜索site:edu.cn指定域名,搭配关键字登陆,注册,忘记密码,等等,或者xxx系统比较容易挖出通杀。
逻辑漏洞挖掘思路
1.登陆
登陆处一般会出现
-
无验证码可爆破
-
验证码登陆爆破(4位,或长期有效)
-
验证码登陆绕过
-
验证码在返回包
-
短信轰炸
-
邮箱轰炸
-
sesslon覆盖
-
万能密码
-
post注入
-
xss
2.注册
-
任意用户注册
-
注册覆盖
-
验证码在返回包
-
短信轰炸
-
邮箱轰炸
-
xss
3.密码找回
-
任意用户密码重置
-
密保问题在前端源码
-
验证码爆破
-
手机号码篡改为自己的接收短信验证码
-
邮箱篡改为自己的接收短信验证码
4.会员系统(报名系统)
-
用户越权访问
-
订单越权查看修改
-
收货地址越权查看修改
-
资料越权查看修改
-
换绑手机号码短信轰炸
-
水平垂直越权
-
接口查询
-
数据泄露
-
文件上传
-
资料处xss
-
csrf
5.支付系统
-
商品价格修改
-
优惠卷数量修改
-
折扣修改
-
商品数量修改
-
支付金额修改
-
积分修改
-
收货地址越权遍历
-
订单查看
-
备注处xss
-
支付成功订单重放
-
优惠数量限制突破
漏洞挖掘
(漏洞都已修复了)从谷歌语法里找了个站测试,这是一个报名系统
整体看了一下功能,发现找回密码处是没有验证码的,抓包爆破预报名号,我一般爆破不知道是几位数字的都是从100000开始到99999999,每次加12341,如果每次就加1不知道要跑到猴年马月
最后爆破到账号分布350000-360000之间返回包长度在5100多就是账号存在,4000多的是不存在的,再换成6位数爆破,最后爆破到一堆账号
利用爆破到的账号,通过密保问题找密码
本来想抓包看看能不能绕过或者看看密保答案在不在数据包里,最后发现抓不了包,这前端验证,那答案不是在前端源码里了,仔细找了一下果然真的在前端源码里
完美
登陆验证一下,成功登陆,严重泄漏个人信息
到这里不急着提交漏,看看能不能扩大攻击范围,刚才是预报名的账号而已,利用泄漏的身份证号码,去登陆考生号,结果当然也是一样密保答案在前端源码里。
不知不觉已经9点了,再挖一个洞就睡觉吧
接下来是一个卖书刊的站
点进来就发现一个购买会员卡的界面,本来想测支付金额的,看卡能不能1元购,最后发现货到付款,还有钱要汇款了,这应该要人工审核!
填写收卡信息里这么多输入框,不打xss还等啥
刚测姓名那里就弹框了,这运气这么好?
提交的信息的时候失望了,确认并提交那里xss代码都没有了,修改了别的地方还是没有,应该没希望了,不知道后台会不会弹出,算了直接丢xss平台吧
提交订单后,出来一个发票索要,又是一大堆输入框,就喜欢这么多框,存储xss又有希望了,
发现是之间提交的没有限制,之间盲打试试看丢xss平台,果然没令我失望,成功打到cookie
刚想提交,wq域名竟然变了,竟然不是edu的,?只能提交公益src了,竟然不是edu的,拿打到的cookie去后台看看还有没有什么漏洞,最后发现,登陆不上,还验证ip。
最后我通过xss平台返回的xss触发的地址打开看看
点击返回订单,又有了新的发现,发现可以查看用户的资料,不知道是不是我设置了打到的cookie的缘故可以看,还是越权,我把链接复制换新的浏览器打开发现也能访问,应该就是越权了
发现待处理里面,可以审批信息
又有一处存储型xss
刚才的页面没啥好测了,泄露了这么多信息还不扩大攻击范围等啥呢,利用泄露的手机号码看看能不能重置密码
测试了一下发现验证码6位数,有效期10份钟,验证码没有返回在数据包,本来想爆破的,试一下看看能不能把接收验证码的手机号码改成我的,短信会不会收到
抓数据包测试
验证码收到了,尝试下一步,发现验证码已失效,看来有防御机制,我还是看看能不能成功爆破把,短信发送给用户,爆破前我又试了一下修改手机号码,这次,竟然可以了,最后发现要先发送一次给用户,第二次在改自己的手机号码才有效,不知道啥逻辑
登陆验证一下,成功登陆,里面还有钱,点到为止,提交漏洞了。
不知不觉12点了,5点还要起床,赶紧上床睡觉,
申明:本账号所分享内容仅用于网络安全技术讨论,切勿用于违法途径,所有渗透都需获取授权,违者后果自行承担,与本号及作者无关,请谨记守法。
免费领取安全学习资料包!
渗透工具
技术文档、书籍
面试题
帮助你在面试中脱颖而出
视频
基础到进阶
环境搭建、HTML,PHP,MySQL基础学习,信息收集,SQL注入,XSS,CSRF,暴力破解等等
应急响应笔记
学习路线