实战登录框漏洞测试
最新回答
紫珺婳浅
2026-10-31 16:32:08
首先，是SQL注入漏洞。在输入信息并进行判断后，如存在注入，则可直接利用sqlmap进行攻击。
接着，是验证码前端显示和内容可控漏洞。填写信息后发送验证码并抓包，发现验证码在前端显示且可控，这可能造成短信轰炸。
短信轰炸漏洞中，通过报错信息发现新的短信接口，进行短信轰炸测试。在登录框测试漏洞无果后，任意输入账号密码发现提示输入验证码。通过错误返回包中的/login/getsmscode?username=接口，得知为获取验证码的接口。随意输入提示用户名或密码错误，盲猜用户名为admin，成功提示验证码发送成功，造成无限制短信轰炸和用户名爆破。
邮箱轰炸漏洞类似短信轰炸，通过输入邮箱发送验证码并验证失败，仅需将邮箱域名中的字符修改即可再次发送，循环攻击造成无限邮箱轰炸。
在越权与逻辑漏洞挖掘中，通常通过对比两个用户的请求包及响应包，观察差异并尝试替换响应包以实现越权。如在登录框修改密码功能的案例，通过替换错误的返回包绕过短信验证。
针对弱口令和信息泄露，通过字典攻击等方式进行挖掘。个人经验显示，这类漏洞的发现较为依赖运气和技巧。推荐的字典下载网站为github.com/TheKingOfDuc...
本文仅供技术交流，请遵守网络安全相关法律法规，切勿从事非法活动，所有不良后果与文章作者无关。本文作者：闲钓者迫心。
热门标签
