文中涉及漏洞已经修复!!!
在某次众测的项目,目标url:http://xxx.xxx.xxx:18088/,资产来源就是鹰图的备案查询。
icp.name="公司名称"
就是在抢洞的时候,经常会用这个,但是这个只是争对进行过备案的网站,但是你要了解到,很多公司还是有很多不进行备案的网站,这时候,我们就要配合一下其他搜索引擎进行搜索。
1、fofa
2、360quake
3、00信安
保证资产的全面性。(这种搜集下来,当然是不全的,想要搜集更偏的,就得sao思路)
网站如下:
我们进行了各种姿势,进行尝试,无果。
但是我们抓取登录口的包,突然就想尝试SQL注入。
我们保存txt文件,在username字段后面加*,开梭。
没WAF,就是干。
出来了,存在SQL注入。
点评:其实一般的登陆功能一般是可以测试sql注入的,有时候字典也是非常重要的。笔者也在星球里面特地梳理了针对此种功能sql注入的字典。
如果你是一个长期主义者,欢迎加入我的知识星球,我们一起往前走,每日都会更新,精细化运营,微信识别二维码付费即可加入,如不满意,72 小时内可在 App 内无条件自助退款