JS拼接所导致的通杀

chenqiang

原文链接：JS拼接所导致的通杀

​
自己在逛某社区的时候，突然看到一篇好文章，去根据网站的开发商去确定资产然后再去挖通杀，一不做二不休，学习前人思路，开干！

​

编辑
首先在edu平台允许查看开发商的漏洞修复率的.

​

编辑
根据这一个特点，找到一个开发商进行测试，在这里大家注意，尽量找一些比较小一点的，修复率不是很大的，相对来说比较容易一点。

​

编辑
就你了，33个站点

​

编辑
进入一个站点之后

​

编辑
先去注册一个账号，过程不在详细解释，直接进入页面

​

编辑
发现采用webpack打包的，像这种站点一般在JS地方可以多留心观察一波,大概率会出洞

这里进行JS审计拼接
·一处越过原密码修改密码接口泄露
正常修改密码界面
​​编辑​


JS接口
​​编辑​

这里测试发现，此接口为第一次登录时要进行新密码设置，因为此站点可以手机号验证码登录，所以盲猜这是给通过验证码登录的用户设置的接口，但是没有进行鉴权，导致任何用户访问这个接口可以直接修改密码
​​编辑​

​

编辑
经过测试，此处不存在CSRF漏洞

第二处漏洞:越权漏洞

在访问一处接口的时候

​

编辑
页面一处角落里，闪了一个敏感信息，又立马消失

​

编辑
打开抓包软件，重复操作一个包一个包进行发送，知道他出现
点击之后，开始研究数据包，查看是否有敏感参数或者越权的地方

​

编辑
放到这个包时候，由于看见id，这里跳过失败的测试(遍历，注入),拦截返回包，进行查看

​

编辑
将flase改为true，继续放包

​

编辑
出现这个包时候，再去拦截响应包

​

编辑
将flase改为true
原本正常情况下我的功能栏
​​编辑​

修改完之后的功能栏，成功越权可以查看到留言榜

​

编辑

​​​编辑​
虽然上述两个漏洞比较鸡肋，但是通过扒拉js发现大量接口都已经泄露，基本上可以说拿到了一个高权限账号

​

编辑

​

编辑

​

编辑

​

编辑
接口很多就不一个一个展示了。
​