【SRC实战】不安全的资源引用实战案例
原创
渗透测试安全日记
渗透测试安全日记
渗透测试安全日记
2026年1月26日 07:00
广东
在小说阅读器读本章
去阅读
免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息、工具等资源而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任!
01 背景
针对某src进行安全测试，在测试时发现一个简单但经典的漏洞，特分享给大学。此问题在多个src中出现过，算是比较高频率的一种漏洞。
在这里，作者把它称为“不安全的资源引用”，这是啥概念？接下来实战给你讲解。
02 实战
本次案例，来自于某个学习网站，该网站上有比较多的学习资源。完成注册后，直接进入某个视频学习。如下图。
可以看到，学习资源，有时间限制，只能给你试看几分钟，必须开通会员才能完整的将全部视频看完。这种限制模式，很多网站都会有。一般人看到这种，要不就乖乖充值，要不就索性不看了。
进一步测试发现，这里存在一个绕过限制的技巧。直接F12，进入浏览器的控制台，如下图。可以直接看到视频的url。
直接复制到浏览器中，直接观看，不再受会员限制。
至此，本案例分享结束。
03 总结
本次漏洞产生的原因，为后端资源是存在未授权访问漏洞，当把视频的url单独复制出来，在新的浏览器去访问时，可以直接访问的，相当于直接访问了此资源，又绕过了原本的前端js的限制如时间，会员校验等。
这个案例的中F12技巧很实用，遇到类似的情况时，各位师傅可以试试。
往期好文
解锁Wabpack的JS异步加载通杀技巧(附工具),看了不白看
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论