前言:

---

某个星期六的晚上，我还在追剧 《开端》准备下机睡觉，修君给我发了某站，

我打开一看，好家伙，不渗透一波怎么能对得起它呢？

背景:

找到某app的界面：

咳咳，小夕啥都不知道啥都不懂

看了看功能点，有一个注册的地方，但是注册的时候居然要邀请码！！！

真的很没意思，一点互联网资源共享精神都没，这就很过分了，这么好的东西怎么能吃独食？？

必须安排一波

过程：

看了看功能点，有一个注册的地方，但是注册的时候居然要邀请码！！！

真的很没意思，一点互联网资源共享精神都没，这就很过分了

于是将app放到虚拟机，通过抓包拿到其真实域名

然后利用bp的爬虫爬到一处api接口

提示参数缺失 fuzz一波参数

fuzz.jpg (自行脑部bp fuzz图 忘了截图了)

http://www.xxxxxxx.cn/api/index/tab3?p=1&t=3&v=0&s=0

然后就是一波中奖

但是不是DBA 也无法写文件 数据库实在太乱了 懒得一个一个的读

目前后台地址也还没找到 而且这个站及其的卡 思路完全乱了，，

微信搜索公众号：小夕学算法，回复“666”，获取更多精品学习资料。

想着先利用注入搞一个账号出来 然后登录该app，，看看app内有无什么可利用的

但是除了一处留言反馈准备测试xss之外，就是各种诱惑。。。。

留言框只允许中文以及中文符号，但是却是使用js进行验证，抓包即可绕过

对着该处留言框就是一顿乱插

中途等了大概10分钟 就当我以为要失败的时候

果然，，小夕运气好==

拿到后台登录地址 虽然没有cookie 但是利用注入点读出了后台账号密码

最后登陆后台

看了看后台，app总用户达到1w+…一天用户增加500+

翻了下后台的功能，，发现一处图片上传，而且似乎是js验证的图片类型

但是在实际上传中 各种失败，应该是前台js验证+后端功能让所有上传的文件强制改名为.jpg

接下来的事就比较好玩了，虽然拿到了后台，但是没法突破，没卵用

于是小夕添加了后台留的一个QQ号

对方秒通过，经过简单的交流，发现他是这套程序的二开作者，售卖给别人被别人用来当作淫秽视频传播盈利网站了。

于是小夕就将计就计，先唬住他（我摊牌了，我是演员）

（小夕的QQ小号）

这个地方 hw 和授权书只是我骗他的==

各位表哥看着爽就行

甚至他把他的网站后台账号密码都给我了。。。

tips:以上内容都是瞎编的，大佬们不要当真！

通过他提供的部分上传验证源码，发现是后段对上传文件强制改名了，我人都傻了，大佬们有绕过思路可以在下方评论

最后还是没拿到shell等等，，也就是只止步于后台了。

一方面是这个后台实在太鸡儿卡了，动不动无法响应

另一方面就是漏洞利用手法没有全面利用，导致忽略了很多getshell的姿势，还是太菜了呜呜呜，表哥们轻喷。

/作者：多吃点才可爱/

/来源：http://r6d.cn/VRhr/

各位伙伴们好，詹帅本帅搭建了一个个人博客和小程序，汇集各种干货和资源，也方便大家阅读，感兴趣的小伙伴请移步小程序体验一下哦！（欢迎提建议）

推荐阅读



牛逼！Python常用数据类型的基本操作（长文系列第①篇）
牛逼！Python的判断、循环和各种表达式（长文系列第②篇）

牛逼！Python函数和文件操作（长文系列第③篇）

牛逼！Python错误、异常和模块（长文系列第④篇）