记一次授权的知名交易所的测试

第一步，拿到网址https://www.xxxx.com

使用xray自带的子域名扫描，收集下资产。

这里发现一个https://api-test.xxx.com使用的是laravel框架，众所周知laravel框架基本没啥漏洞

这里我简单fuzz下目录发现在https://info-api.xxx.com/api/search?q=1%27

发现有报错，这里就存在2个问题

第一个为laravel框架自身开启了debug=true导致配置信息泄露，这是一个很严重的安全配置问题，可导致数据库配置信息、redis配置信息、access_key等敏感信息泄露！

相关预警请参考：https://www.freebuf.com/fevents/195413.html

第二个为laravel框架的注入，这里由于使用了cdn，可以寻找云主机的真实ip，使用sqlmap的分块传输的脚本跑下就出结果了

由于上述的laravel debug泄露的大部分信息为内网信息，除了一个数据库账户密码，也是和下面sql注入跑出来的为一个库，登陆数据库发现登陆密码为php password_hash加密的，这里可以直接使用一个已知的密码，加密过后替换上去即可登录后台

例：cp 123456

登陆成功后发现存在一个上传的地方没有做任何限制，可以直接shell