前言
存在泄露，访问地址
去验证接口是否存在
测试其他接口也有敏感信息
看一下env有没有泄露敏感内容
密码什么的都加密了，只有下载heapdump看看能不能利用了
下载完成用JDumpSpider-1.1-SNAPSHOT-full或者heapdump_tool这两个目前最好用：得到数据库账号密码。
可惜外网上无法利用只能就此作罢提交了，算两个低危
★
欢 迎 加 入 星 球 ！
代码审计+免杀+渗透学习资源+各种资料文档+各种工具+付费会员
进成员内部群
星球的最近主题和星球内部工具一些展示
加入安全交流群
关 注 有 礼
还在等什么？赶紧点击下方名片关注学习吧！
推荐阅读
文章来源: http://mp.weixin.qq.com/s?__biz=MzkxNDAyNTY2NA==&mid=2247514074&idx=1&sn=fb69e06becab10a772cfa88a99a5450b&chksm=c009f80be12087b8c4e2b90bbd56fcce0fec778ff5ed097ab7ddbfbc6d9d2749577bef3c3c4e&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh
如有侵权请联系:admin#unsafe.sh