渗透测试之丝滑开局

原创

pippybear
pippybear

安全无界

2026年8月13日 10:00
上海

在小说阅读器读本章

去阅读

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

这是之前的一次授权渗透测试，目标是一个一体化服务系统，听起来好像挺牛掰，系统似乎很大的样子。

实际一看emmmm，好像有那么点公司门户网站的感觉，就信息展示加一点申报/查询，好家伙。

这次客户倒是没啥要求，主要就是想看看能不能出点漏洞给他们安全部门来点底气，这还说啥，硬着头皮先干再说。

展示的信息简单地过了一下，并没有见到之前敏感信息未脱敏直接放在前端 or 接口后端的情况。那就只能试一下申报查询了，按照往常的挖洞经验，这里一般都会有不少收获。直接申报办件。

申报完后，按照输入的信息搜索查询，并查看办件详情。

可以获取到如下数据包。

看到这个数据包的时候就觉得不简单，因为前面提到的页面信息，每一个信息就是一个fid，好家伙，颤抖的手激动的心。

直接将fid替换，emmmm，果然如此，直接可以查看到这个办件提交人的所有信息，完美。

赶紧梳理报告，给客户提提底气。