SSC成功率较高的漏洞利用

web安全学习了解： web渗透测试             
官网： 宣紫科技

这个漏洞其实老司机都知道，在过去日时时彩、BC类型的网站大部分都靠这些漏洞。主要是xss，除去本身的运气意外，除非你有bc、时时彩的0day，留着自己日站很香，不过某个表哥非要把这些姿势分享出来那就一发额。

XSS1：

SSC及菠菜的充值方式中，银联、支付宝、微信部分会采用线上第四方接口，此处基本不存在，但是有种也会采用转账后提交充值订单号或记录，尤其是在银行卡转账这条上面。

注意：很多较大的平台充值与开奖后台是分离的，所以并不是说xss打下充值后台就一定是网站管理后台及开奖后台。

XSS位置二：

在线客服，大部分网站会选用第三方客服，但是部分网站也会任性一下自己网站上带一个客服功能，客服位置也极有可能存在xss。

需要注意的是，客服后台也基本上都是独立的后台与开奖后台、充值后台基本不会在同一后台中。

在最后推荐一个xss平台地址：

除去自己搭建的xss平台以外推荐：XSS Hunter，构造好了多种可执行payload，并且payload直接继承选取了屏幕截图，cookie获取，网站源码获取等js。