实战 | 某金融src较复杂攻击链进入后台

文章预览

1. 前言 本文大体完成于去年，是由某金融SRC的案例修改而来，由于涉及一些敏感信息，所以部分细节略有修改。整个案例还是很有意思的，从一个页面到另一个页面，从一个JS到另一个JS。 2. 目录 FUZZ 到 JS 接口分析 首先本文的攻击场景是一个登录框 看到这，很多师傅应该会很开心，看起来没有验证码，那不是妥妥的喷洒+爆破拿下吗？但实际上并不是，密码错一次就会出验证码 好吧，有验证码又如何呢，我用验证码识别插件操作一下不就行了？ 实际上不行，测试之后发现，这里这个接口有密码错误次数进行限制，并且验证码 + 错误次数限制都没法绕过去，所以在这个接口爆破喷洒肯定行不通了。 那么还有什么办法呢？这时候就可以开始想想分析 JS 找接口了，但是不行啊，这里没有 webpack ，而且这里的 JS 文件都是这种的： 有经验的师傅应该知道 ………………………………