记某学校小程序漏洞挖掘

前言：

遇到一个学校小程序的站点，只在前端登录口做了校验，后端没有任何校验，奇葩弱口令离谱进去，站点里面越权泄露敏感信息，接管账号等漏洞！！！

渗透思路

1.绕过前端

在登录口，我输入admin/123456，提示请输入正确的手机号。

img

输入正确格式的手机号提示无权登录。

img

遇到这种问题，我第一反应就是爆破手机号，看存不存在测试账号，如13300000000、13300000001,这样的测试账号。爆破

img

啥也没有，复制host在网页中访问，提示通过前端地址访问，在挖漏洞时，应该都会遇到这种通过前端地址访问，代表这些都是小程序的地址。