首页 > 代码库 > 挖洞技巧
挖洞技巧
1.1 补天不收的漏洞
①反射XSS
②CSRF
③目录遍历
④二进制（据补天审核说，他们没人看的懂，没法审，所以不收）
2、尝试常用漏洞
2.1 爆破
2.2 CMS通用漏洞
2.3 SQL注入漏洞
2.4 XSS漏洞
2.5 越权和逻辑漏洞
2.5.1 越权
付费厂商多见于ID参数，比如typeID、OrderID等等，这里只是举例。更改ID，可以越权看其他ID的信息。还有AWVS扫目录，有的后台未授权访问，可以利用。
2.5.2 逻辑漏洞
比如四位验证码，没做错误次数限制，0000-9999一共一万种搭配方式，burp跑一下，很快就得到了。或者支付逻辑漏洞（多见于商城或者网站账户充值），任意用户密码重置（补天说这是高危漏洞）
2.6 任意文件上传/下载
2.7 非web问题
IIS的解析漏洞、struts2框架的命令执行漏洞、java反序列化命令执行漏洞
挖洞技巧
声明：以上内容来自用户投稿及互联网公开渠道收集整理发布，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任，若内容有误或涉及侵权可进行投诉： 投诉/举报 工作人员会在5个工作日内联系你，一经查实，本站将立刻删除涉嫌侵权内容。