一个小细节最终导致系统的攻破

一个小技能点分享-很简短

在对一个登录口进行渗透的时候，使用了常规手段进行攻击（js提取、目录扫描、爆破等）均失败，无奈之下进行审阅js，发现有这个Auth-Token。

在之前进行目录扫描的时候，是发现了存在actuator泄露，但是401无法访问。

提示令牌已经过期，其实就是无权限。

除此之外获取了源代码、还获取了系统的aksk进行接管了云系统。

多的就不说了，主要是介绍上面那个Auth-Token思路，遇到未授权，可以多看看JS说不准有意想不到的收获。