【网络安全 | 漏洞挖掘】通过控制台调试实现登录

未经许可，不得转载。

在安全测试过程中，我留意到一个特殊现象：当登录出现错误时，相关请求包并不经过 Burp Suite。

那么此时账号密码是储存在前端的，我通过调试即可实现登录管理员账户。

正文

由于系统设定，输入错误的账号和密码会弹出 “账号密码错误” 的提示。基于此，我在代码中 “账号密码错误” 提示的相关位置设置了断点，截图如下：

随后，我刷新浏览器页面，输入错误的账号和密码，然后点击登录按钮，操作界面展示如下：

因为账号密码错误，程序执行路径到达之前设置的断点处，此时的调试界面为：

我仔细向上翻阅代码，发现关键信息：变量a的值必须为c3ee4d1ca34b184882c9c5473cb82490，且n.password的值必须为1680，满足这两个条件方可成功登录。