【网络安全】SRC漏洞挖掘思路/手法分享

Tip1

“复制该主机所有 URL”：包含该主机上的所有接口等资源。

“复制此主机里的链接”：包括该主机加载的第三方链接等内容。

Tip2

在 Intruder 模块中实现 GET 请求并发的步骤如下：

1.取消所有 Payload

2.选择 Null Payloads

3.选择资源池

4.启动并发请求

Tip3

后台修改管理员密码时，原密码显示为 *****。如何查看明文密码？

使用“审查元素”功能，将 password 类型的属性修改为 text，即可显示密码明文。

Tip4

文件上传时，可以先尝试上传一个使用非常规后缀（如 .aa）的文件：

1.若上传成功并正常回显，说明网站采用黑名单过滤机制，可以尝试通过修改后缀绕过限制；

2.若上传失败并提示格式错误，说明网站采用白名单机制，此功能点可放弃尝试。

<