声明:文中涉及到的技术和工具,仅供学习使用,禁止从事任何非法活动,如因此造成的直接或间接损失,均由使用者自行承担责任。
首先来到平平无奇的登录口,注册一个登录账号,发现还要对账号进行审核,啥功能点也没有啊。
后来遍历某处接口,发现该api接口可查看所有路由点。
再次登录账号,将响应包替换一下,登录后台功能点就都能用了。
看到功能点还有处商品类表,想想看能否会不会有啥越权看看商品,或者修改修改商品的洞,随即就来到商品编辑处,我们先创建一个商品。
点击编辑商品,我们发现url处有处goodsID和companyID,这里感觉可以修改任意商品,但是我们如何去遍历这两个id去修改别人的呢。
实战,在无法知道goodsID和companyID的情况下,这里可直接遍历商家的companyID和goodsID,首先打开官网,然后直接点击某商品。
例如:
https://www.xxxxxxx.com/xxxxx/ixxxxxxl.htm?itemID=xxxxxxxxxxxxxxxxxxxxxxxxxxxx,然后到burp响应包中去找这两个特征。
找到这双因子因素,然后替换url中的goodsID和companyID,可以直接查看并修改该商品,当然胆子大点也是能0元购的。
原文始发于微信公众号(迪哥讲事):SRC篇-权限绕过到任意商品修改
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论