用户
搜索
  • TA的每日心情

    2017-4-23 16:48
  • 签到天数: 1 天

    连续签到: 1 天

    [LV.1]初来乍到

    i春秋-呆萌菜鸟

    Rank: 1

    1

    主题

    2

    帖子

    25

    魔法币
    收听
    0
    粉丝
    0
    注册时间
    2017-4-23
    发表于 2017-5-9 18:50:04 82924
    起初,我带着划划水的态度进了群,然后发现大牛们都挖了好几天了,顿时倍感压力……而且,参加活动是要签协议的,这就意味着如果一个洞都挖不到的话还得赔个运费
    -----------------------------------------------------------------------------------------------------------------------------------------------------------------------
    正文


    首先,挖SRC要确定挖掘范围,不然你挖的洞不在人家的接收范围内就尴尬了。。然后在群里发现已经给出了活动的测试范围:
    1.jpg
    接着就是子域名收集,可以用谷歌百度构造关键字(如site inurl intitle intext等)、子域名爆破工具,以及一些在线网站。


    然后,我就在乌云镜像里搜索厂商的历史漏洞,这样做的目的是能够多一点对厂商系统的了解。值得点赞的是,YSRC对一些已经修复了的漏洞进行了公开,使所有人都能从中获取经验(我在里面就学到了不少


    通过对系统的一些简单测试后,我决定将挖掘目标放在逻辑漏洞上面,这也是通过上面查看历史漏洞和听群内dalao的交流得出的。(逻辑漏洞要多一些,并且挖掘难度要低一些)


    挖掘点一般就是任意用户登录,任意用户密码重置,低额支付,越权这些方面。
    像登录和密码重置,大多数情况都是短信验证码绕过(还有抓包跳过验证流程、伪造响应结果等):
          有的是把验证码直接通过json返回到了客户端,抓包就能得到
          有的是没有验证接收验证码的手机是否属于该用户,抓包就能换成自己的手机号
          还有的是验证码没有设置使用次数或过期时间,爆破就能得到


    支付漏洞主要就是篡改金额或数量;越权则是看是否有参数是可控的,仔细抓包吧。。


    其实这些都是老套路,没有什么亮点,大家应该是都会的、、
    我觉得我挖洞的时候主要是靠细心和毅力。
    抱着挖不到洞就会亏本的心理我最后几天还是成功挖到了三个洞(其中一个重复),也算保住了钱包君


    结语:
           本次活动最大的收获是学到了更多的姿势,也是第一次知道了撞库是收的,而且主库是很重视滴!(某日晚上挖到一个能撞主库的“”,正兴奋时发现还是有风控的……)
           最后还有一点:
           挖洞要赶早啊!!!
        挖洞要赶早啊!!!
        挖洞要赶早啊!!!

















    做第一个吃螃蟹的人,才能获得更多的掌声与收获!加油
    使用道具 举报 回复
    看看看看
    使用道具 举报 回复
    发表于 2017-5-10 17:48:33
    顶顶顶
    http://www.imsunshine.cn/
    使用道具 举报 回复
    发表于 2017-5-10 18:41:22
    看看看看
    使用道具 举报 回复
    然而我在挖的时候,发现这些漏洞只是机缘巧合,大多数不存在这样鸡的漏洞
    使用道具 举报 回复
    发表于 2017-5-11 18:07:46
    首先挖洞最重要的第一步的就是,每天都必做,不然会挖不到漏洞的
    就是每天早中晚
    就是每天膜拜顶礼膜拜兔几
    然后高呼三遍
    我已经沉迷兔几不能自拔了
    我已经沉迷兔几不能自拔了
    我已经沉迷兔几不能自拔了
    信兔几得永生
    信兔几得永生
    信兔几得永生
    来啊~快活啊~
    使用道具 举报 回复
    看帖评论是个好习惯
    使用道具 举报 回复
    发表于 2017-5-12 16:33:18
    看看学习一下
    使用道具 举报 回复
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册