渗透测试之金融站

热度:377℃ 评论:0 发布时间:2017-11-14 收录:已收录

0x01: 渗透测试 某金融站:

那天无意在某2345 上看到了某金融站的广告:
就点开了某站测试。
www.xxx.com
渗透测试之金融站
看了一下,不知道是什么系统。还是一个未知的系统。
也是老司机了,不可能拿上各种扫描器就开始BBB
近视了简单的 信息搜集 得知。
真实IP为  42.123.XX.XXX
系统为nginx
Php二次开发
当然这种估计 金融估计是找不到注入漏洞的,,
我就不用工具扫一波了。
渗透测试之金融站
一看 网站对 XSS 估计 没怎么过滤,
我就看见 网站 有啥输出到后台的 点没有,
看到有个商城 可以兑换,商品,实物,但是
渗透测试之金融站
好像需要积分,  我不可能自己花钱去 xxx吧。

然后 思路来了:

对网站进行了, 一波逻辑漏洞挖掘。
自己注册了了一个
里面功能还可以的, 还有CSRF,但是没有啥卵用:
我们找回密码试试:
渗透测试之金融站
好像只要一条验证码就行,,相信很多小伙伴想到了爆破:
但是我没有,我们抓包看看:
渗透测试之金融站
Session 为前端返回。这不是逻辑漏洞的征兆?
Info 验证码失败。 后门说false 失败。
修改false 为true 看看, true 为真即成功
渗透测试之金融站
好吧 还是失败  , 但是前面的 返回值N 可能就是 他们公司验证码效验的规则 N为NO 那么Y呢?
试试改N为Y
渗透测试之金融站
确定也需要抓包 修改返回

可以看到成功: 登录也成功登录 确认存在找回逻辑。

那么问题来了: 说好了XSS呢?

别急我们去看商城, 兑换都要积分,积分都是RMB 换。。哎
这时候 搜集信息找着网站有积分的用户。。。   在网站内一无所获。。
那么我们来到。神奇的百度
渗透测试之金融站

第二天成功进入,:
果断,先把QQ头像改为他们金融的头像冒充下;
果断私聊:  你好我们平台 正在进行随机抽取投资客户进行奖励抽选,请提供下手机号:
虽然有点老套,效果还是不错, 几分钟 拿到了20+手机号:
我觉得够的同时被发现了, 果断自己退群,下QQ。
渗透测试之金融站
手机拍的  , 有点反光:
马上 进入  地址测试 XSS:
用标签闭合 :
渗透测试之金融站
自己打下自己, 可以;
R然后 找到实物,  积分的兑换 这里这么多多换几个 多打几次。:
渗透测试之金融站

成功打到后台cookie

渗透测试之金融站
本文转自土司:w7oami

打赏
本文由 Mr.Wu 创作,除注明转载/出处外,均为本站原创,转载前请注明出处!

发表评论

电子邮件地址不会被公开。 必填项已用*标注

顶部
护眼
搜索
分享