【赏金猎人】记一次SRC挖掘思路

2023年将会持续于B站、CSDN等各大平台更新，可加入粉丝群与博主交流:838681355，为了老板大G共同努力。
【商务合作请私信或进群联系群主】

一、起因

在近日挖某SRC，新手原因刚上手，但是这个SRC不讲武德，10个站9个挂CDN挂WAF，测逻辑漏洞也被认为危害过小，没给过，唯一几个没挂CDN和WAF，并且我认为可以的入口点在这：https://xxx/login

二、过程

丑陋无比，我感觉能打，放了一首周董的“晴天”。
一些简单的搜索过后，找到了唯一能访问的页面：https://xxx/xxx/setPhoneInfo.html

尝试设定，但是验证码发送不出来，抓包发现了东西：
明文用户名administrator，短信发送异常：

将参数validPwd=false改为true

小洞用户枚举，滚一边爆破：三个账号sysadmin\test\administrator，经过测试了以下：
Sysadmin:超级管理员，首次未登录
Administrator:管理员，手机号存在
Test：测试员，手机号不存在
Js审计一波：
前台爆破思路，但是有锁账号限制(无用)：

感觉像用户名密码：

根据刚才密码参数去查找需要构造的参数：

构造password参数：有了点效果。

到这也就结束了，今天是2023.2.3/15:45，因为账户都被锁了，尝试了很多遍，默认密码123456都被改掉了…可能这几天还会看一下，但是这个网站服务器貌似有问题。