文章来源：EDI安全

我阅读了一篇文章——[HTML到PDF转换器错误导致Facebook服务器中出现RCE。]在阅读了这篇文章之后，我对在庞大的Web应用程序中可以找到多少个漏洞有了一个很好的了解。

所以我的目标是

https://legal.tapprd.thefacebook.com

以及目标是RCE或类似的东西。

我运行了一些模糊测试工具，只是为了获取该Web应用程序的完整endpoint。

发现Dirs并返回403：

/ tapprd / / tapprd / content / / tapprd / services / / tapprd / Content / / tapprd / api / / tapprd / Services / / tapprd / temp / / tapprd / logs / / tapprd / logs / portal / / tapprd / logs / api / / tapprd / certificates / / tapprd / logs / auth / / tapprd / logs / Portal / / tapprd / API / / tapprd / webroot / / tapprd / logs / API / / tapprd / certificates / sso / / tapprd / callback / / tapprd / logs / callback / / tapprd / Webroot / / tapprd / certificates / dkim / / tapprd / SERVICES /

我认为这个结果足以支持我以前关于此应用程序有多大的理论，然后我开始阅读javascript文件，以了解网站的工作方式以及使用..etc的方法。

我注意到一种绕过重定向到登录SSO的方法，即

https://legal.tapprd.thefacebook.com/tapprd/portal/authentication/login，

在分析登录页面后，我注意到了该

endpoint/ tapprd / auth / identity / user / forgotpassword

在用户endpoint上进行了一些模糊处理之后，我注意到了另一个endpoint，该endpoint的/savepassword并期待POST请求。然后，在读取javascript文件后，了解页面的工作方式后，应该有一个生成的令牌和xsrf令牌。.etc最初的想法是，让我们对其进行测试，看看是否可行，

我尝试使用burp suite手动进行更改，但出现错误，错误是执行此操作失败。

这可能是因为电子邮件有误或其他原因？

我们获取管理员电子邮件，然后我开始将随机电子邮件放入列表中以创建单词列表，然后，我使用入侵者，看看会发生什么。

我发现了相同的错误结果以及另一个结果，这是302重定向到登录页面的消息

因此，回过头来看看我在这里所做的事情，我使用带有CSRF令牌的入侵者发送了随机请求，并使用带有新密码的随机电子邮件发送了此endpoint/ savepassword

结果之一是302重定向。

现在，我进入了登录页面，将登录电子邮件和新密码以及我成功登录的BOOM放入了应用程序，然后可以进入管理面板