由于传播、利用本公众号李白你好所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号李白你好及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！

遇到一个传输过程数据被加密的网站，无法重放改包，前端也做了较为严格的限制，测试一度陷入僵局，最终从js找到突破点拿到web后台管理员权限

传输过程对数据做了加密处理

2.1 敏感信息泄漏

前端逻辑由js控制，全网站请求路径及参数构造方式明文出现在js中，打开开发者工具即可看见敏感信息

通过jsfinder对调用的38个js进行匹配，发现779条url

再放入burp做存活探测，263个地址可以直接被访问到，如果后端鉴权功能不完善，则可能存在大量未授权访问

2.2 任意用户密码修改

泄漏地址中/xx-password可疑，是一个密码修改的web，访问后填写数据后点击确定，没有请求发出，但登录后再测试能正常修改密码，存在问题：

用于用户初次登陆强制修改密码的接口未做限制，导致可在登录状态下不输入原密码即可修改新密码

随后手动点击logout后再次测试便可以发出请求，多次测试确认与cookie相关，登陆成功后服务器下发cookie，前端js会提取该cookie生成一个新的请求头Access-Token用于身份鉴别，当未能从cookie中提取token时便不会进入处理流程就不会触发请求事件，所以未登录状态点击提交没有请求发出，登出后cookie未被删除依然可以生成token

继续测试，此时请求头已有一个失效的合法token，但返回用户类型错误，猜测传入参数还存在问题

但传输过程被加密，无法改包测试

只能从参数构造入手，找到button绑定click事件

进入函数，找到核心代码，p()函数传入密钥（t）和待加密数据（e）两个值，可以看到断点处此时userId和userType未绑定值，函数内使用sm2算法对密钥加密、aes算法对数据加密，然后分别放入key和content字段返回，这种结构类似https模型，使用非对称算法加密密钥、对称算法加密数据

理解了构造流程，尝试写入普通用户的userID和userType后放包，修改密码成功，猜测后端服务器只验证了token的真实性，便提取用户id进入修改密码流程，依此逻辑可以尝试遍历管理员id，但生产环境会造成大量账号无法登陆，最终由客户提供管理员id完成漏洞测试，成功修改管理员密码

拿到后台管理员账户权限

2.3 小结

js泄漏网站路径 --> 敏感业务未授权访问 --> 服务器弱鉴权机制 --> 参数构造方法透明 --> 获得web管理员权限

文章来源：先知社区（Ainrm） 

原文地址：https://xz.aliyun.com/t/10801

如需转载本样式风格、字体版权，请保留出处：李白你好