首页 > 其他分享 >小白生于天地之间,岂能郁郁难挖高危?

小白生于天地之间,岂能郁郁难挖高危?

时间:2024-09-30 09:01:10浏览次数:2  
标签:郁郁 接口 js 站点 小白 参数 网安 高危

小白的众测高危:

记先前某次众测,经过资产梳理,发现所有站点全部都挂了WAF,作为一名不钓鱼的挖洞小白,我估计这次又要空军。

小白生于天地之间,岂能郁郁难挖高危?

想要在挂了WAF的站点挖出高危,很难,因为这些站点,你但凡鼠标点快点,检测出了不正确动作都要给你禁IP,至于WAF绕过对于小白更是难搞。其实在众测,大部分漏洞都并非那些什么SQL注入RCE等等,而小白想要出高危,可能也只有寄托希望于未授权。

未授权接口怎么找:

有一种站点,在URL内含有#符号,这种站点的路径接口信息泄露较多,更容易出未授权。

但要注意一点,#后面的东西是不会走服务器的,所以这里如果在findsomething找到了很多东西,拼接的时候带不带#号呢?

这就要区分路由和接口了,如果看着像是路由,在这种原本就有#符号站点,就带上#符号。如果是接口,接口一般是用来进行数据交互的,所以需要走服务器,那就不能拼接#符号。

区分上述后就可以将拿到的东西以POST请求,GET请求都跑一遍,再看是否存在能用的接口,再根据接口返回情况看是否需要添加参数。

这里又是涉及一个很麻烦的点,那就是遇到接口能用,找到参数了,但参数的格式不知道,我这次讲的这个高危就遇到了这种情况,差点错过!

在将现有js里面的接口跑完后还需要注意找js里面的js里面的接口。

这里有两种常见情况:

一、js.map泄露

大多webpack打包的站点会有js.map文件,那js.map文件怎么利用呢?

首先需要下载下来:

如上图,右键检查后,在网络处找.js文件,再点击它,在右方找到js文件的路径,并在结尾加上.map访问即可下载。

之后再由reverse-sourcemap工具还原js.map文件,再由vscode等工具打开,进行接口关键字搜查。

【----帮助网安学习,以下所有学习资料免费领!加vx:dctintin,备注 “博客园” 获取!】

 ① 网安学习成长路径思维导图
 ② 60+网安经典常用工具包
 ③ 100+SRC漏洞分析报告
 ④ 150+网安攻防实战技术电子书
 ⑤ 最权威CISSP 认证考试指南+题库
 ⑥ 超1800页CTF实战技巧手册
 ⑦ 最新网安大厂面试题合集(含答案)
 ⑧ APP客户端安全检测指南(安卓+IOS)

二、大量chunk类型js泄露:

如图:

我们如果在数据包或者js文件看到这种格式内容,就可以考虑进一步利用。

首先将所有内容复制出来,再用notepad++打开:

如图进行替换成符合burp里面chunk文件的格式,再放到burp里面跑一遍,配合HAE插件可以提取更加全面的接口信息。

小白找的高危未授权接口:

我也是通过上述方法找到接口后放到burp里面跑,(跑的时候记得加参数),例如接口中有类似id=,url=,wid=等等最好自己加个参数上去。

但就是因为不知道参数类型,我险些错过这个高危漏洞。

如上图第一个接口,因为参数不正确跑出来跟其它接口一个样,不过还好我留意了一下,并且运气好,随手拼的参数居然正确了,直接下载了敏感文件,造成用户全家姓名,电话,住址,工作公司,身份证等等信息全部泄露。(所以这里注意:对有参数的接口即使一次没跑出信息,也要考虑是否需要对参数进行FUZZ)

并且id参数可遍历,形成大范围用户泄露,高危漏洞到手。

更多网安技能的在线实操练习,请点击这里>>

  

标签:郁郁,接口,js,站点,小白,参数,网安,高危
From: https://www.cnblogs.com/hetianlab/p/18441121

相关文章

  • 抖音如何实现快速涨粉 巨量千川投流的操作流程是什么 新手小白怎样才能快速涨粉1000涨
    在抖音这个充满机遇与挑战的平台上,快速涨粉是众多创作者和商家的共同目标。而巨量千川投流则为实现这一目标提供了强大的助力。首先,了解巨量千川投流的优势是关键。巨量千川投流作为抖音的官方投流渠道,有着广泛的受众覆盖面。它不仅能将作品推送给抖音用户,还能触及今日头条、西......
  • 系统固态扩容-全小白操作示意 不需要BIOS
    机械革命有两个插槽,我有一个500G(系统盘)一个1T的固态,由于1.5T的固态都快用完了,所以买了一个2T的固态,将1T的内容迁移到2T中,将500G的迁移到1T中。为了防止内容丢失先将500G系统盘做了备份,用的傲梅轻松备份。1T->2T然后就是将2T的固态用绿联的固态盒子先当做移动硬盘,用分区助手进......
  • 小白也能学会!unet医学图像分割(附源码和中文论文)
    本文主要介绍如何通过unet模型来训练自己的图像分割模型。即使没有编程经验,对照步骤执行也能训练模型。文中涉及的显微镜细胞图像分割数据集、模型训练代码(pytorch)、unet中文版论文等资源放于文末获取。目录1.论文摘要2.算法简述3.代码介绍4.数据准备5.模型训练6.模......
  • 一文学会编写大模型备案安全评估报告「小白也可学会」
     文章目录一、语料安全评估        (一)评估内容        (二)评估结论二、模型安全评估三、安全措施评估四、总体结论适用于不会大模型备案过程中对大模型备案安全评估报告不会如何编写的业务人员。*图:大模型备案全套素材文件一、语料安全评估(......
  • Redis小白学习笔记1
    目录这3篇文章是我在学习Redis的过程中,总结的笔记:第一篇Redis学习笔记1-理论篇1,Redis中的数据类型2,Redis的IO模型3,Redis的持久化4,Redis集群原理5,将Redis用作缓存第二篇Redis学习笔记2-性能篇6,Redis高性能的影响因素6.1,Redis内部的阻塞式操作......
  • CTF攻防世界小白刷题自学笔记9
    1.disabled_button,难度:1,方向:Web题目来源:Cyberpeace-n3k0题目描述:X老师今天上课讲了前端知识,然后给了大家一个不能按的按钮,小宁惊奇地发现这个按钮按不下去,到底怎么才能按下去呢?给一下题目链接:攻防世界Web方向新手模式第10题。打开题目场景一看果然有一个不能按的按钮,如图......
  • 一款革命性的AI写作工具——文字游侠AI大模型重大升级,创作效率提高高达20倍,小白也能轻
    在自媒体创作的浪潮中,如何高效地生产高质量内容成为许多创作者的难题。然而,随着AI技术的飞速发展,这一难题得到了完美的解决。今天,我要为大家介绍一款革命性的AI写作工具——文字游侠AI大模型,它不仅能够大幅提高创作效率,还能帮助你轻松实现月入过万的目标。那么,文字游侠AI大模......
  • 《Linux从小白到高手》理论篇(三):vi/vim编辑器和Linux文件处理“三剑客”(sed/grep/awk)
    Listitem本篇介绍vi/vim编辑器和Linux文件处理“三剑客”(sed/grep/awk),这5个工具命令可能是Linux最最常用的,而且功能超级强大。vi/vimvi和vim的基本介绍所有的Linux系统都会内建vi文本编辑器。Vim具有程序编辑的能力,可以看做是Vi的增强版本,可以主动的以字体颜色辨......
  • 【2024版】最简单的Python安装 | Pycharm专业版激活码教程(新手小白都能学会)
    Python环境的安装1.下载安装程序:•打开浏览器,在Python官方网站上可以下载打包好的安装包在这里......
  • 【小白向】如何订阅支付DeepL,订阅DeepL Pro以及申请DeepL API?
    什么是DeepL?详情移步至底部原文查看哦~早在2008年12月,前Google科学家GereonFrahling在德国科隆创立了LingueeGmbH,DeepL的前身,并推出了创新的在线双语词典——Linguee。详情移步至底部原文查看哦~如何订阅支付DeepL翻译器,订阅DeepLPro以及申请DeepLAPI详情移步至底部原......