用户
搜索
  • TA的每日心情
    开心
    2016-8-2 09:37
  • 签到天数: 1 天

    连续签到: 1 天

    [LV.1]初来乍到

    i春秋-见习白帽

    Rank: 3Rank: 3

    0

    主题

    86

    帖子

    178

    魔法币
    收听
    0
    粉丝
    1
    注册时间
    2015-11-20
    发表于 2017-5-11 23:36:48 122757
    本帖最后由 icqcb4258d4 于 2017-5-11 23:40 编辑

    前言:
    作为一个小菜,很幸运能够参加本次的同程众测活动,衷心感谢i春秋和同程,让我能够成功送出一血,虽然打出GG,但着实收获不少。

    下面是自己对挖src或者参加众测活动的一些看法和总结,大佬前辈们见笑了,轻喷。希望本文对小伙伴们有所帮助。

    正文:
    众测其实是一个一拼手速,二拼耐心的计时竞赛,其难度是随着时间的推移不断增长,越是到后面洞也就越难挖。下面说说在众测不同时期,应该怎么做~

    活动前期:
           在活动开始前几天,应该是最容易挖的时候,这个时候就是一拼手速,手速越快,你能够发现和确认有效的洞就越多,常见的撞库,爆破用户注册手机号,绕过验证码,csrf,越权,跳转,xss等都是有的,而且这个时候撞洞的情况也会很少。

    那么为了手速快,我们就必须做好充分的准备,当然不可能直接上burpsuite,在官网就是一顿乱怼。

    先是资产信息收集,根据众测范围,尽可能多的收集目标信息,子域名,ip范围,业务信息,客户端(APP,微信公众平台),历史漏洞等。信息的收集手段key大佬都已经详细说过了,总结得很好,本菜就不多说。充分利用好搜索引擎,不局限于google和百度,360,搜狐,必应也是可以的。

    信息收集完成之后,可以结合业务点整体把握一下目标。因为要快,个人觉得这个时候暂不必去深入分析业务逻辑。

    针对常见漏洞位置挖掘常见漏洞,与及对公开的漏洞进行研究与拓展,其实就可以满足这个时期洞的需求了。

    而恰好同程有一个公开漏洞模块(大赞),我们可以在这里得到许多大佬前辈的公开漏洞思路,认真学习前辈的思路,然后针对漏洞类型,漏洞点进行拓展,把思维发散出去,其实就可以挖到洞了。

    比如本菜的一个简单csrf洞,就是在看公开漏洞的时候去拓展了一下挖到的。虽然rank不多,但是所花费的时间成本也不高,价值与时间几乎等值,也是不亏。

    还有挖的一个验证码轰炸,也是在公开漏洞里面拓展而得,说起来这个洞也是挺有意思的。

    所以说验证学习公开漏洞思路非常重要,往往我们在这里可以得到许多启发与拓展,从而挖掘出我们自己的洞来!

    活动中后期:
         随着时间的推移一些常见的洞都挖的七七八八了,这个时候是二拼耐心的时候,之前的洞就不太可行了,往往提交上去不是撞洞就是被忽略。
         这个时候我们就应该把之前收集的信息集合业务点深入分析了,常见的漏洞位置已经挖的差不多了,得寻找突破口,从app,微信客户端,接口,还有一些不太起眼的位置比如意见反馈,页面js等入手,还有就是逻辑较为复杂但是不太起眼的地方,相信思维够发散,猥琐,耐住性子还是可以挖到的。

         耐住性子,思路猥琐应该是这个时候挖洞必备的要素,哦,对了,还有咖啡和纸巾:)


    结束:
         第一次参加众测,也是第一次挖src,以上是本菜的一些小小的看法和总结,没有多少众测经验,但大体感觉是这个样子,不足之处望大佬们见谅,有什么不妥也请大佬们指正~

         通过这次众测学到了很多,有很多想写的,但是就是写不出来。写了又删,删了又写。
    噢,对了,为什么图片上传不了呀!orz。。。

         最后衷心感谢i春秋和同程,祝越办越好~





    发表于 2017-5-12 10:36:03
    支持一下你
    使用道具 举报 回复

    谢谢大佬~~
    使用道具 举报 回复
    发表于 2017-5-12 12:31:56
    使用道具 举报 回复
    发表于 2017-5-12 13:13:10
    支持一下
    使用道具 举报 回复
    发表于 2017-5-12 14:27:22
    厉害了
    使用道具 举报 回复
    发表于 2017-5-12 15:21:17
    key大佬的总结可以Google到吗,能发下链接吗
    使用道具 举报 回复
    发表于 2017-5-12 16:55:32
    厉害厉害
    使用道具 举报 回复
    发表于 2017-5-13 21:41:28
    鱼竿_grump 发表于 2017-5-12 15:21
    key大佬的总结可以Google到吗,能发下链接吗

    这里https://bbs.ichunqiu.com/thread-22698-1-1.html
    使用道具 举报 回复
    发表于 2017-5-13 21:41:53

    谢谢支持
    使用道具 举报 回复

    感谢支持
    使用道具 举报 回复

    感谢感谢
    使用道具 举报 回复
    使用道具 举报 回复
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册