【网络安全 | 漏洞挖掘】JS Review + GraphQL滥用实现管理面板访问

未经许可，不得转载。

正文

在映射目标范围后，我发现了一个用于管理的控制台界面，但没有注册功能。

于是我开始尝试：

1、模糊测试注册端点 -> 失败

2、在请求中将登录替换为注册 -> 再次失败

尝试均未奏效后，我决定冷静下来，重新思考方法并利用技术手段。

我观察到目标使用了 GraphQL、React 和 Node.js。这种技术栈往往容易受到逻辑漏洞的影响，但需要一些 JavaScript 深入挖掘。

为了创建用户，我开始在 JavaScript 控制台中详细检查。