尧图网络 高端网站定制 · 原创设计
免费咨询热线
400-888-6620
免费获取方案
SRC---接口漏洞实战(第三更)
在我们信息收集获取webvpn或sslvpn后我们可以进入一站是服务大厅进行漏洞挖掘一、漏洞介绍水平越权访问是一种“基于数据的访问控制”设计缺陷引起的漏洞。由于服务端在接收到请求数据进行操作时没有对用户的权限进行严格的校验这种漏洞最容易出现的位置就是?id传参值和post传参的参数中或者存在个人信息页面个人资料这些隐藏的接口中方法一往往在挖掘过程中拿到同一个站点别人能挖掘到水平越权或者垂直越权那些是因为这些越权漏洞的传参值都是接口在进行所以我们在挖掘的过程中可以打开bp抓住每一个包然后再去http历史记录查看接口信息再进行测试如上图一样如果在站点页面是无法看见sid这个参数而你在burp历史包中即可以看见参数 这个参数就是个人身份的参数如果没有鉴权那么水平越权就到手了方法二直接使用浏览器的控制台中的网络即可查找可以看出这个页面你根本没有任何办法测试水平越权但是你可以通过查看接口的办法将个人信息的接口查找出来后进行测试调用后你可以将参数abllid参数值换为别人的参数即可测试存在越权不二、案例某证书大学的挖掘这次是打的组合拳我都没有想到在b站点的接口中泄露了全校师生的values所以在挖一个学校的时候不要着急提交漏洞应该慢慢的全部系统都分析一下遇见有用的就记录下来第二处漏洞可以清楚的看见sfz是进行了加密处理的但是在f12查看个人接口的时候你会发现接口中的数据全是清晰可见所以挖越权漏洞要多调用burp的历史记录或者f12查看接口往往对接口的健全是程序源经常忽略的三、方法三使用脚本jsfind进行查找站点使用脚本可以看出很多接口访问即可
RELATED

相关推荐

从裁剪到缝制:21×6×23cm迷你手提包完整制作教程

从裁剪到缝制:21×6×23cm迷你手提包完整制作教程

之前做了一款 21cm 宽的 mini 手提包,做完以后发现它成了我最近使用频率最高的一只小包,尺寸是 21cm 6cm 23cm(宽 底厚 高),平时出门可以放下手机、充电器、钱包、耳机、数据线、车钥匙这些随身物品。这个尺寸不臃…

📅 2026/9/10 6:19:21
基于SpringBoot的川菜店订餐系统(源码+lw+部署文档+讲解等)

基于SpringBoot的川菜店订餐系统(源码+lw+部署文档+讲解等)

温馨提示:本人主页置顶文章(点我)开头有 CSDN 平台官方提供的学长联系方式的名片! 温馨提示:本人主页置顶文章(点我)开头有 CSDN 平台官方提供的学长联系方式的名片! 温馨提示:本人主页置顶文章(点我)开头有 CSDN 平台…

📅 2026/9/15 13:44:17
2026款Mac mini与Mac Studio提前发布:本地AI部署与统一内存成焦点

2026款Mac mini与Mac Studio提前发布:本地AI部署与统一内存成焦点

今天说一件不是新软件、但会影响本地 AI 部署生态的事:AI 需求激增,促使苹果提前发布 2026 款 Mac mini 与 Mac Studio。如果你最近在用 Ollama、LM Studio,或者经常拿 Apple Silicon 机器跑量化大模型,这条产品更新节奏和“为什么…

📅 2026/9/12 2:39:45
MORE NEWS

更多资讯

📰

LLM面试分水岭:这8个问题答不上来,架构方案再深也容易崩

带过一大批做 LLM 相关岗位的候选人之后,我越来越确认一个判断:面试里最致命的通常不是算法细节答不上来,而是对 LLM 的工作方式有一种“理所当然”的错误预设。这 8 个问题看似基础,却在技术面试里扮演着分水岭角色,答…

📰

C#实现步进电机S型加减速曲线:原理、代码与调参实战

简介:面向C#开发者与自动化设备调试人员的步进电机S型加速曲线控制示例,用于平滑调整电机速度、减小启停冲击,提升运动定位精度。压缩包共44个文件、约1.16MB,核心为cs源码、工程配置文件与可执行程序,同时包含安装项目…

📰

USB Key国密SDK集成:从驱动配置到SM2签名并发封装

简介:这份Windows平台开发资料包面向需要集成飞天诚信ePass3000GM硬件加密令牌的C/VC及Web应用开发者,包含SDK V1.4版本的完整开发资源,可用于网络身份验证、数据加密、PKI等安全场景。压缩包共51个文件,约5.75MB,以cp…

📰

PTA老板的作息表:时间区间补集与排序扫描解法

1. 拿到题先别写代码:这份作息表本质是求时间轴的补集PTA 上这道《老板的作息表》,我第一次看题面的时候扫了一眼就动手写了,结果交了四发才过。原因很简单:这道题的题干看起来像“格式化输出练习”,实际上是一道包装在…

📰

AI代理与智能爬虫技术趋势及实战解析

1. GitHub开源项目日报:AI代理与爬虫技术趋势解析2026年2月的技术圈正经历着新一轮工具链变革,从GitHub每日趋势榜单可见,AI代理与智能爬虫类项目占据了近40%的新增Star。这种现象背后是自动化数据采集需求爆发与LLM应用落地的双重驱动。作为…

📰

电子遗嘱活体验证V步骤1:Python构建司法级身份证据链

1. 电子遗嘱存证平台的合规性困局:不是技术不够,而是验证链断裂我去年参与一个省级司法区块链存证平台的二期改造,核心目标是把纸质遗嘱的线下公证流程,迁移到线上完成。听起来很顺——用户上传扫描件、签名、视频声明&#xff0c…

TODAY

今日更新

THIS WEEK

本周精选

THIS MONTH

本月热门

读完文章,想聊聊您的网站?

告诉我们您的行业与需求,资深顾问一对一梳理方案与报价,全程免费。

📞 💬