edu上海某xx大学 未授权访问
zkaq- zbs
zkaq- zbs
掌控安全EDU
2026年8月25日 12:09
江西
在小说阅读器读本章
去阅读
扫码领资料
获网安教程
本文由掌控安全学院 - zbs 投稿
来Track安全社区投稿~
千元稿费！还有保底奖励~（https://bbs.zkaq.cn）
先利用在社区学习到的知识：
我在信息搜集时使用的hunter语法：domain=”edu.cn”&&web.body=”注册”
为什么要这样搜？ 因为往往有注册功能的网站登录后可以有更多的功能点接口，权限也会上升为用户
比如这里登录后，才能访问网站：
思路：传参点测sql注入、有回显内容可以测xss、文件上传点测测、框架看一下有无通用、逻辑漏洞想到的都试试
我比较菜鸡，没在这里找到什么漏洞，但是不要放弃，可以试试目录扫描：
这里用到老师推荐的findsomething插件：
这些都是新的资产-接口，可以一个个访问看看
这里找到一处/advixxx，是班主任的管理后台，但是对用户没有鉴权，可以未授权访问：
里面可以看到资金流水等敏感信息：
对于这种信息泄露，利用bp抓包看看请求包和相应包，往往会有更多的数据、收获：
而且未授权访问还会暴露更多的接口，比如这里：
找到一处网站管理员的后台接口，并且用的是wordpress框架，这里可以用用kali的wpscan工具扫一下，说不定会有惊喜：
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
没看够~？欢迎关注！
分享本文到朋友圈，可以凭截图找老师领取
上千教程+工具+交流群+靶场账号哦
分享后扫码加我！
回顾往期内容
代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！
点赞+在看支持一下吧~感谢看官老爷~
你的点赞是我更新的动力
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论