扫码领资料
获网安教程
1.信息搜集
-
Hunter：web.title=”XX大学”&&web.body=”注册” -
Fofa：host=”.edu.cn” && body=”注册” && country=”CN”
可以看出还是能搜到不少可以注册的站的，这么多够你测了吧。然后导出资产，批量打开去测呗，这里推荐一个小插件可以批量打开网站。Bulk URL Opener
2.漏洞挖掘
A洞
这里抓包可以看到传参很多，有数据交互的地方首先就想到要测sql注入，所有这里就简单用单引号测试了一下，果然还真有报错。
比如通讯地址：test后面拼接单双引号，发现存在SQL注入报错
最后直接放到sqlmap跑出注入点
B洞
完美！！！
总结
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
原文始发于微信公众号（掌控安全EDU）：漏洞挖掘 | EDU小通用漏洞分享
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论