记一次某平台js接口未授权到进入后台

免责声明:

本次测试过程完全在本地或授权环境中进行,仅供学习、参考与技术讨论使用。严禁将本文中描述的方法和技术用于任何非法途径。

本文中提及的所有漏洞已提交并得到修复。读者如有进行类似测试或其他行为,应确保所有操作均在合法和授权的范围内进行。

若读者因使用本文中的内容而进行任何危害网络安全的行为,后果自负,与原作者无关。

本文为原创内容,未经授权,严禁转载、复制或引用。若需转载或引用,请联系原作者获取授权。

饭后无聊在fofa搜了一下body="忘记密码|找回密码"
俗话说得好,柿子要挑软的捏。找来找去那就他了。

码要打全一点,万一被认出来怎么办。

先跑一波弱口令,无果。
F12开始翻源代码,看到js接口泄露。

先访问一下,提示“密码需要是6位数字”

在burpsuite拼接然后构造一下。

完美,修改成功。访问看看。

寻找上传点,找到一个上传头像的地方,不过是一个假功能,tnnd 无法getshell。

F12果然yyds