实战 | 记一次隐藏js接口到短信轰炸

关于js在渗透测试中的作用，想必大家都知道，可以从中找到敏感信息，未授权访问，接口安全等。本篇文章也着重讲解js接口的渗透测试。

不少师傅在渗透测试的时候都会有这样的一个疑惑，js渗透测试的知识我也学了，除了会找点敏感信息，也收集到接口了，看了看这些接口，感觉不能利用就跳过了，看着别的师傅为什么就能利用起来，拿下一个又一个，总感觉差了那么一点点。那么这篇文章将给师傅们拓展一下思路。

看准目标后，先来一波信息收集。

先使用Wappalyzer看一下，js框架为Vue.js

接下来收集js，我这里以findsomething为例，平时建议师傅们综合使用几款工具，比如JSFinder，packerfuzzer等，这也是我平时会综合使用的工具。

可以看到暴露了大量的接口。一个个拼接访问有点麻烦，这里有个小技巧，可以复制后利用burpsuite去拼接访问，大大提高了效率，这里就不过多的展示了，师傅们可以自行了解或者私聊我。

有些师傅们看到这个页面，一看也没什么能利用的地方，就是个报错，也没敏感信息和功能点，撤了撤了。有些师傅一看，有参数，这不试一下。

其实这个页面还好，也提示了参数phone，还有些也不给提示的，这时候就需要师傅拿出自己的字典来跑一跑这个参数了，字典可以去github上找。

这里就直接测试了。

首先测试一下GET类型的，收到了手机验证码

大家在渗透测试的时候如果遇到GET类型不成功的话，可以试试POST，不要轻易放弃。

这里既然可以发送短信验证码，那么就可以想一想怎么进一步扩大危害，没错，就是短信轰炸。

短信轰炸分为两种类型

1、横向轰炸：对单个手机号码做了接收验证次数，但是可以对不同手机号发送短信无次数限制
2、纵向轰炸：对一个手机号码轰炸多次

拓展：

如果能够收到别人的短信验证码，那么就可以任意用户登入，注册等漏洞。

这里是横向轰炸

加我wx私聊加入星球有优惠：binarySec

手把手教你挖SRC，实战讲解

星球里包含百余个靶场项目，包括详细wp，包括共享ctfshow账号，网盘，fofa，360quake等会员共享，渗透课程，代码审计50个实战项目审计，src专题，新人不会的可以一对一教学，你有问题我解答，快速提升能力，适合注重实践，主打靶，主实战，加入即可进入内部网盘，微信群，资源共享，交流技术。

提供建议修改简历，面试辅导，面试模拟服务

欢迎加入我们！！！