看了 T00ls 的漏洞监测:老板电器(robam.com) 某分站弱口令[T00ls-2022-00159] - T00ls.Com
标题是:老板电器(robam.com) 某分站弱口令[T00ls-2022-00159]
由于 T00ls 的漏洞监测漏洞细节是不会公开的,于是打算自己尝试一下,因为漏洞危害等级为低风险,所以难度应该不会大。
依次点了几个,发现了一个后台管理系统
判断该后台是用vue+elementui
写的,这个比较熟悉,用google浏览器自带的开发者工具就可以直接查看源码
可以看到暴漏了所有的api接口
既然是弱口令,总要试一下,上Github下载了后台爆破的常用字典
先抓包看下
试一下是否存在sql注入漏洞
没想到还真的存在。。。还是先爆破弱口令吧。
配置一下爆破字典
等了一秒不到,爆破成功
尝试登录看看
登录成功
本文为蓝空安全(NAUYX)原创,原文地址:https://www.nauyxsec.com/archives/32.html