国际科技财经移民娱乐民生时事体育

>

对涉黄app进行技术渗透，我居然发现了 ....

对涉黄app进行技术渗透，我居然发现了 ....

4月前

来源：blog.csdn.net/weixin_44948325/article/details/106963036

# 前言:

某个星期六的晚上，我还在挖 edusrc ，刚 getshell 内网漫游完（纯属放屁哈哈哈）准备下机睡觉，修君表哥给我发了某站（表哥们懂的，疯狂暗示），

我打开一看，WC好东西，不渗透一波怎么能对得起它呢？

# 背景:

找到某app的界面：

咳咳，表哥们别想太多哈，本人纯情小男生，啥都不知道啥都不懂

看了看功能点，有一个注册的地方，但是注册的时候居然要邀请码！！！

真的很没意思，一点互联网资源共享精神都没，这就很过分了，这么好的东西怎么能吃独食？？

必须安排一波，没办法，看着到手的资源就要飞了，于心不忍啊，

# 过程：

于是将app放到虚拟机，通过抓包拿到其真实域名

然后利用bp的爬虫爬到一处api接口

提示参数缺失 fuzz一波参数

fuzz.jpg (自行脑部bp fuzz图忘了截图了)

然后就是一波中奖

但是不是DBA 也无法写文件数据库实在太乱了懒得一个一个的读

目前后台地址也还没找到而且这个站及其的卡思路完全乱了，，

想着先利用注入搞一个账号出来然后登录该app，，看看app内有无什么可利用的

但是除了一处留言反馈准备测试xss之外，就是各种诱惑。。。。

留言框只允许中文以及中文符号，但是却是使用js进行验证，抓包即可绕过

对着该处留言框就是一顿乱插

中途等了大概10分钟就当我以为要失败的时候

果然，，菜逼运气好==

拿到后台登录地址虽然没有cookie 但是利用注入点读出了后台账号密码

最后登陆后台

看了看后台，app总用户达到1w+…一天用户增加500+

翻了下后台的功能，，发现一处图片上传，而且似乎是js验证的图片类型

但是在实际上传中各种失败，应该是前台js验证+后端功能让所有上传的文件强制改名为.jpg

接下来的事就比较好玩了，虽然拿到了后台，但是没法突破，没卵用

于是我添加了后台留的一个QQ号

对方秒通过，经过简单的交流，发现他是这套程序的二开作者，售卖给别人被别人用来当作淫秽视频传播盈利网站了。

于是我就将计就计，先唬住他（我摊牌了，我是演员）

这个地方 hw 和授权书只是我骗他的==

各位表哥看着爽就行

甚至他把他的网站后台账号密码都给我了。。。

tips:以上内容都是瞎编的，大佬们不要当真！

通过他提供的部分上传验证源码，发现是后段对上传文件强制改名了，我人都傻了，大佬们有绕过思路可以在下方评论

最后还是没拿到shell等等，，也就是只止步于后台了。

一方面是这个后台实在太鸡儿卡了，动不动无法响应

另一方面就是漏洞利用手法没有全面利用，导致忽略了很多getshell的姿势，还是太菜了呜呜呜，表哥们轻喷。

END

官方站点：www.linuxprobe.com

Linux命令大全：www.linuxcool.com

刘遄老师QQ：5604215

Linux技术交流群：2636170

（新群，火热加群中……）

想要学习Linux系统的读者可以点击"阅读原文"按钮来了解书籍《Linux就该这么学》，同时也非常适合专业的运维人员阅读，成为辅助您工作的高价值工具书！

微信扫码关注该文公众号作者

来源：Linux就该这么学

相关新闻

不要在外卖APP里点开这些，一不小心就涉黄了！看了几只银行股的走势，让我发现了地产的玄机……体验完腾讯最新的 AI 应用「元宝」，我发现了其他 AI 助手都没有的一个惊喜功能看了《我的阿勒泰》，才发现我对新疆一无所知！卧底魔都“20万学费俱乐部”家长群，我发现了消费降级后牛娃到底在“卷”什么？YSL夜皇后救了我黄气粗糙的老皮！今天这个价，必须要冲了微信隐藏的工具被我发现了！别把女儿打扮得太成熟：我发现了“国民校服”，统一南北方妈妈审美！3年B端产品经验，跳槽时我发现了这些职场真相解读数据，我发现了超好用的七步标准法今年暑假带娃去哪玩，交叉比较国内外顶级景区名录，我发现了这些好地方用 Vision Pro 逛了一下午淘宝，我发现了一种很新的网购方式直接用IP访问百度，我发现了···30年了，我对她一直念念不忘，终于等到这一天天水火了，我发现只有一条航线可达小助手，求问：男朋友偷偷看片被我发现了，该分手吗我发现了保持一段健康关系的核心撕开家里的旧床垫，我发现了多年睡不好的秘密！深扒完十几份北京语文期末试卷，我发现了拿高分的秘诀两年卖掉几十万册冷门书后，我发现了算法的「另一面」2024刚开年，这个武侠大世界就刷新了我对RPG的认知 5小时赶出来的论文拿Distinction！我发现了比“代写”还好用10倍的写作神器做心理咨询师后，我发现了这3个好处学员故事｜北美裁员潮下，毕业直接进入能源公司的我，做对了什么？