src组合拳进入后台,拿下高危! admin 139701文章 114评论 2024年12月9日23:07:04评论8 views字数 381阅读1分16秒阅读模式 前言 登录口对抗工程师的高光、走运时刻,当看到提示“用户名不存在”时,心里泛起一丝涟漪,紧接着输了好几次密码,竟都提示密码错误!服务端没有封ip,也没有封账号,说明登录口的防护十分薄弱,安全意识淡薄,大概率还存在弱口令。 果不其然,通过用户名枚举、密码暴力破解,最后真的通过一个弱口令进入了后台! 漏洞挖掘 1、挖掘src过程中,发现了一个后台登录口,随便输入账号提示“用户名不存在” 2、直接用BurpSuite抓登录包,利用intruder模块进行用户名枚举 3、根据响应包返回“密码错误”,判断出用户名shsd 4、测试发现未对密码错误次数做限制,因此用BurpSuite抓取登录包,用户名指定为shsd,使用intruder模块对密码进行爆破 5、爆破出密码为888888,成功登录后台 END 原文始发于微信公众号(simple学安全):src|组合拳进入后台,拿下高危! 免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。 点赞 https://cn-sec.com/archives/3486759.html 复制链接 复制链接 左青龙 微信扫一扫 右白虎 微信扫一扫
评论