搜索

[18517] 2020-03-15_记一次对钓鱼网站的XFF头注入

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-03-15_记一次对钓鱼网站的XFF头注入 记 一 次 对 钓 鱼 网 站 的 X F F 头 注 入 原 创   Y u C h e n   H A C K 学 习 呀   2 0 2 0 - 0 3 - 1 5 本 文 由 内 部 学 员 ： Y u C h e n 投 稿 事 情 还 得 从 一 个 群 说 起 ， 某 穿 越 火 线 女 主 播 粉 丝 群

群 友 发 了 个 钓 鱼 网 站   打 开 是 这 样 的 信 息 收 集 一 波 不 过 这 个 人 好 像 是 批 量 注 册 的

看 下 中 间 件 信 息 I P 和 端 口 开 放 情 况 n m a p 再 扫 一 扫 看 看
除 了 8 0 5 5 5 5 端 口 没 响 应 1 0 0 1 0 端 口 4 0 3 对 1 0 0 1 0 进 行 目 录 扫 描   未 果   对 网 站 目 录 扫 描 ： 看 样 子 是 宝 塔 + L i n u x
收 集 完 了 开 搞 登 录 框 想 到 了 注 入   B u r p 抓 包
对 p o s t 的 参 数 和 U A 进 行 f u z z 时 没 什 么 发 现 以 前 看 过 钓 鱼 的 源 码 想 到 了 钓 鱼 网 站 可 能 会 记 录 i p 尝 试 X F F 头 注 入 可 能 有 注 入   盲 注 试 试 X - F o r w a r d e d - F o r : ' a n d   ( s e l e c t   1   f r o m ( s e l e c t ( s l e e p ( 2 ) ) ) x ) #
保 存 请 求 包 为 a . t x t 拿 到 了 用 户 名 ， 密 码 但 是 找 不 到 后 台 所 以 用 X S S 盲 打 试 试 在 输 入 账 号 密 码 处 插 入 x s s   p a y l o a d ： s q l m a p . p y   - r   C : a . t x t   - - b a t c h   - - l e v e l   4 s q l m a p . p y   - r   " C : a . t x t "   - - b a t c h - - l e v e l   4   - D   s q l _ 2 0 2 0 s y _ g b z p _   - T   y u n x _ a d m i n   - C   u s e r n a m e , p a s s w o r d   - - d u m p
E m m m   插 不 进 去 可 能 是 前 端 限 制   检 查 一 下 发 现 了 t s 这 个 函 数 找 到 j s 的 这 个 函 数   验 证 了 是 前 端 限 制 的 想 法
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理