赏金猎人学习纪录4

声明：没有经过原作者授权，不得转载；

前言

很久没发SRC学习文章了，最近一直在挖众测和SRC所以没更新公众号。今天必须要跟兄弟们继续学习挖洞，今天我们学习国外大哥的一些SSRF玩法。下面跟着炮炮卷起来！！！！！！！！

漏洞一：SSRF回显进行端口探测

废话不多说，来到页面登录进行抓包。

修改为http再次发送请求获取真实IP地址。

进行端口探测

可以进行批量爆破测试，（这里炮炮只能说，运气真好回显的SSRF）

漏洞二：任意密码重置

发送忘记密码到邮箱，获得一个链接。点开链接重定向到重置界面

https://redactedexample.com/someendpoint/confirm.php?u=551234911&t=<132bitUnknownHashType>&x=2913117

看到这里的兄弟们肯定知道怎么操作了，测试下删除x后知否能重置

Your email is <myemail>
Create new password:********************Confirm password:********************<Submit button>

发现没有什么变化，然后再测试u的变量+1，测试是否是校验用户的。最终接管了用户

Your email is <anotheruser'semail>
Create new password:********************Confirm password:********************<Submit button>

漏洞三：GIF--SSRF

这个漏洞是在一个聊天中有一个GIF动图的功能,通过修改URL中的图片达到的SSRF。还有其他的操作兄弟们可以思考思考哦！下面我们来学习，首先发送一个GIF图片并抓包

此时我们查看下群内的是不是均会触发这个SSRF

漏洞四：Bind_SSRF

来到编辑器这里，发送数据抓包

替换为DNS请求的URL

然后进行分享

也可以 先去测试页面中查看

成功获取请求

漏洞五：bind SSRF

没错没错还是漏洞四中的衍生，来到编辑页面中。

兄弟们肯定思如泉涌，玩XSS？玩SSRF？RCE? 欢迎留言，你们会挖什么！这里我们构造一个img标签去解析SSRF

成功加载我们的图形带入的DNSLOG地址

漏洞六：CORS敏感信息泄露

在wp-json中加入origin字段

构造一个POC给受害者触发

cors在国内很少收录，这个文章的大佬是获取了70美刀，但是cors在构造了获取一些敏感信息时也是能造成一些危害，都是钱何必不挖一手！！！！！

原文始发于微信公众号（炮炮安全）：赏金猎人学习纪录4