免责声明
由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！
朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把夜组安全“设为星标”，否则可能就看不到了啦！
渗透测试
SQL注入挖掘
遇到参数后面带数字的，可以使用 1=1、1=2 判断是否存在 sql 注入
抓取数据包，使用 sqlmap 进行注入测试
测试成功
但在测试过程中可能会遇到被 waf 拦截的情况
可以 fuzz 被拦截的字符，有针对性进行绕过
API接口信息泄露
通过查看系统的 js 文件，检索字段如 id、pass、url 等关键字
接口参数发现
常见于任意文件读取、下载、包含漏洞
arjun+fuzz
知道参数为 file 构造 https://10.10.10.127/system_wws/include.php?file= 使用字典对可读取文件进行 fuzz
敏感信息泄露
通过对某个字段进行置空，回显数据包中泄露了大量的手机号、姓名、住址等敏感信息
越权漏洞
通过修改 post 数据包字段的数值，可进行越权操作，查看其他用户的个人信息
短信问题
短信轰炸
对数据包进行重放，实现单用户收到多条短信的效果
短信定向转发
对数据包中的手机号进行遍历，实现一条短信转发给多个用户效果
未授权访问
https://github.com/rtcatc/Packer-Fuzzer
文件上传
黑名单过滤 php 后缀，尝试 php3、php5、phtml 等进行绕过
存在文件解析漏洞，比如 apache 的从右往左进行解析，可添加.xxx 进行绕过
fuzz 其他上传接口比如 file、upload、uploadfile 等，可能会存在其他接口不检验的问题，但实战中很少
暴力破解
之前我们一般暴力破解都是以 admin 为账号，去爆破 top1000 的字典，去根据状态码、长度筛选爆破结果
但是 admin 管理员账户一般是强口令，很难进行爆破，且部分密码进行加密，寻找 js 解密耗费时间久，对于 admin 建议尝试几个 admin123、123456 这些，如果没有的话我们应该选择其他的思路，固定密码 123456、000000 去爆破姓名拼音用户名
硬凑漏洞-水报告
后台地址泄露
不安全的 http 请求方式
垃圾数据写入
用户名枚举
中间件版本信息泄露
多点会话登录
参考链接
文章来源：pizz33
原文链接：https://pizz33.github.io/
往期精彩
原文始发于微信公众号（夜组安全）：常规渗透测试—常见功能点漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论