文章总结： 本文记录了一次Web登录系统的渗透测试实战过程，作者通过弱口令爆破、目录扫描、JS文件分析发现未授权接口，结合信息泄露获取管理员账号后成功爆破登录，并进一步利用越权漏洞提升至系统最高权限。文章提供了完整的渗透测试方法论和具体操作技巧，强调在测试中需注重逻辑链条构建与细节排查。 综合评分： 88 文章分类： 渗透测试,WEB安全,实战经验,漏洞分析,安全工具

[渗透测试] 记一次Web登录通杀渗透测试

MiNi MiNi

0x00安全

2026年5月10日 11:39 中国香港

在小说阅读器读本章

去阅读

0x00 免责声明

本文所涉及的任何技术、信息或工具仅供学习和参考之用。请严格遵守相关法律法规，避免将本文提供的信息用于任何非法或不当行为。使用本文内容的用户需自行承担由此产生的任何直接或间接后果和损失，作者对此不承担任何责任。如涉及侵权问题，请及时联系删除。使用本文提供的内容即表示您已阅读并同意本免责声明，并承诺在使用过程中遵循道德规范和法律要求。

0x01 前 言

原文作者:MiNi原文链接:https://xz.aliyun.com/news/11058

在渗透测试过程中，碰见的web登录页面特别多，那么我们应该用什么样的思路去进行一个测试呢，下面看看我的一些测试师思路吧。

0x02 渗透过程

当看见一个这样的web登录框时，会怎么样进行一个渗透呢？

弱口令

我们可以看见，这个登录时并没有存在一个验证码，就会存在一个爆破问题，那么一般爆破的用户名又会存在哪些呢？

1.admin

2.test

3.root

这里也可以去查找对应系统的的操作手测，收集管理账号，增加爆破机率。

在这里进行了爆破，并没有结果。

目录扫描

我们可以去扫描目录，可能一些被扫描出来的目录未做鉴权，可直接访问。

JS文件未授权

上面方法都无果后，我们接下来去看下JS文件。

发现在index.js中存在一个/SystemMng/Index的url。

我们尝试拼接访问。

拼接进来后，发现什么都没有，是不是准备放弃了？

别急，我们再看看JS，是不是发现惊喜了。

拼接几个危害都挺大的，拿个可以继续利用的给大家。

组合拳弱口令爆破

到这里我们拿到了管理员的账号以及电话了，也可以直接重置他们密码了（拿正确的账号再去尝试爆破）。

可以看见 password被加密了，发现为m5，我们利用burp自带的转码爆破即可。

爆破成功，账号比较复杂，在没前面的操作下拿不到用户名。

登录成功。

登录返回包测试

随意输入登录的账号密码登录抓包。

修改他的鉴权数据后。

修改后发现跳转的还无数据，JS中还是存在泄露。

利用方法一样。

越权

现在已经拿到了普通用户的账号密码了，那我们后面应该去尝试一个越权，垂直越权或者平行越权。

拿爆破的号进行登录抓包处理，这个地方师傅们在挖掘的时候可以多看几遍数据包以及返回包。

开始在构造时，以为是校验ID，后面多测试几轮下来，发现只会去识别code参数。

从未授权到拿到网站的所有权限。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：0x00安全 MiNi MiNi《[渗透测试] 记一次Web登录通杀渗透测试》