m0_72236298的博客

原创 biji123

某目标登录后---》无权限、未认证 ---》通过js文件中定位到全系统 API 接口，构造api 请求（从URL后面到前面走）js文件中---》泄露路径---》注册口类似---》直接访问无需登录可利用后台功能。验证api（手机发送验证码）与---》重置api（重置用户密码）---》分离。把每次收集到的---》参数名和api名---》保存下来---》同时用。资产---》提供技术支持的公司---》注册资金是5000万。低危漏洞---》打组合---》不要交。不要碰---》事件型---》容易进去。