这个漏洞其实老司机都知道,在过去日时时彩、BC类型的网站大部分都靠这些漏洞。主要是xss,除去本身的运气意外,除非你有bc、时时彩的0day,留着自己日站很香,不过某个表哥非要把这些姿势分享出来那就一发额。
XSS1:
SSC及菠菜的充值方式中,银联、支付宝、微信部分会采用线上第四方接口,此处基本不存在,但是有种也会采用转账后提交充值订单号或记录,尤其是在银行卡转账这条上面。
注意:很多较大的平台充值与开奖后台是分离的,所以并不是说xss打下充值后台就一定是网站管理后台及开奖后台。
XSS位置二:
在线客服,大部分网站会选用第三方客服,但是部分网站也会任性一下自己网站上带一个客服功能,客服位置也极有可能存在xss。
需要注意的是,客服后台也基本上都是独立的后台与开奖后台、充值后台基本不会在同一后台中。
在最后推荐一个xss平台地址:
除去自己搭建的xss平台以外推荐:XSS Hunter,构造好了多种可执行payload,并且payload直接继承选取了屏幕截图,cookie获取,网站源码获取等js。