对某黄网的渗透测试-

七彩网络

首页>> 渗透文章 >>对某黄网的渗透测试
2021-4-6
分类: 渗透文章

对某黄网的渗透测试

文章作者:剑心哥哥
手机扫码查看

首先附上一句:少年不可撸。 本人浏览各大*网无数,偶尔发现一个质量不错的,内容你懂的。无奈本人对女色不感兴趣,所以要干一干这个黄网。首先看首页 部分内容少儿不宜已打码......

首先附上一句:少年不可撸。

本人浏览各大*网无数,偶尔发现一个质量不错的,内容你懂的。无奈本人对女色不感兴趣,所以要干一干这个黄网。首先看首页

file
部分内容少儿不宜已打码!

可以看到浏览量还是很大的。
实战渗透某大型黄网
每天几万人看黄色。确定了站的大小后。开始操作。

url/任意目录/都会跳转到首页,所以扫目录是不可能了。不过:

file

file
MsvodX CMS。网上找了一下这套程序的源码打算审计,但是没找到这个程序。通过错误可以看出这套源程序是基于thinkphp开发。既然目录不可以那就直接扔到扫描器吧。

AWVS扫描结果:

file
我日竟然扫出了这么多。我觉得是误报于是手工一下:

扫描器测试:

file
手工测试:

file
弹窗存在XSS。
注入:

file
执行了sql语句报错。

但是手工注入时会屏蔽,可能是自己写的waf。但为什么不屏蔽扫描器?所以URL方式不行那就直接抓包换成POST用sqlmap去测。

file
果然是注入。

抓下包去测试包就可以过掉waf。

文件上传白名单:

file

file
file

文件名可控。

后续你懂的/.php就行。

好了结束。

再见(未做后续操作)。
第一时间发到了我的博客,所以这个为复制我的博客修改了一下。
类型为原创。


×

感谢您的支持,我们会一直保持!

扫码支持
请土豪扫码随意打赏

打开支付宝扫一扫,即可进行扫码打赏哦

分享从这里开始,精彩与您同在

打赏作者
版权所有,转载注意明处:剑心哥哥Blogs » 对某黄网的渗透测试
标签: 黄网渗透

发表评论

路人甲
未显示?请点击刷新

网友评论(0)