【安全漏洞】SRC另类思路分享：不受限制的资源调用

前言

对于SRC的挖掘思路，很多师傅已经给出了挖掘实用技巧。今天带来一篇本人的思路分享：不受限制的资源调用。

一、进入正题

相信在各位的学习、生活中都遇到过这样的页面

此处我以某厂商的云服务购买为例，由图可知，需要我们输入姓名、身份证、联系电话等。如果按照我们普通的挖掘思路，此处可能存在的漏洞是不是有SQL、XSS、越权查看他人提交信息、CSRF等等，其实此处可以利用一种新的思路，我称之为不受限制的资源调用。

二、漏洞测试

此处我们先输入自己的真实姓名+身份证号，然后把身份证号的最后一位7，改成5，进行提交，此时可以发现，提示我们需要输入正确的身份证号码，同时Burp没有任何数据包请求，判断此处是前端做了校验，校验用户输入的身份证号是否能够与规则匹配。同时可在JS文件中找到相应规则，此处校验不通过会返回false阻止我们进行提交。

私信回复“资料”课获取以下资料包【点击查看】
1、200多本网络安全系列电子书
2、全套工具包
3、100份src