新手小白在FreeBuf的第一篇文章，喷的时候轻点哈，作为小白，这个洞有很大的运气加成的。
一、五一闲来无事（我真不想出去玩），找个edu站看了一下
现在挖web的已经很少了，基本都去挖小程序了，像我这种小白只能捡别人挖剩下的。
功夫不负有心人，看到这个系统有个注册的地方，看到这里还是要尝试一下的。
好家伙，这里可能不允许注册了，验证码愣是等了2分钟没等到。
不过也没关系，注册不了用户就去登录页面，看看有没有什么逻辑漏洞，认证缺陷之类的。
登录的时候发现是没有admin这个用户的，应该是用户名有限制≥6位
其实遇到这种情况，大家可以看看前端js有没有信息泄露什么的，比如在js里搜索 auth、token、password这些信息，有些敏感信息是泄露在js的，如果能找到的话，可以省很多事。
F12 真的是一个好习惯。
果然，我太菜了，这里没找到。
不管了，点击登录打开burp 抓包看看
查看一下相应包，有个401。
没准有戏，把http：401 改成200，code：401，改成code：200果然！
果然行不通，就进去了一瞬间，还没爽就出来了。
不过不要灰心，下面就是运气加成的高光时刻！
虽然没有登陆成功，但是通过burp可以抓到好多接口的信息，于是挨个看了下信息内容！这个接口是泄露了一些管理员用户的。
于是把typeID=1 ，修改成typeid=0，相信大家看到这些参数都会试试，没准有什么意外惊喜，
就好比我这次，这下把所有管理员和用户的 账号全泄露了，不过这样交上去肯定也没啥用的。
泄露用户名不算危害，能利用到，才算危害。
秉着试一试的运气，一不小心试出一堆弱口令
弱口令就甘心交上去吗?肯定不行呀，于是进了系统看看，发现了一堆用户的信息。
进入到系统之后，肯定所有的功能都要点一点的，于是找到了一个修改个人资料的页面，尝试一下看不能越权。
手机号改成66666666666 然后点击保存，看看burp上的数据包
这里把userid 改成其它管理员的userid，看了一下响应码，成功了。
下面就是验证了。
修改成功。
到这里又看了其它功能点，没什么可利用的地方，找了一个更换头像的点试了一下文件上传，可惜没解析，尝试了其他办法也不行。
至此挖掘过程结束。
大家做测试的时候在不造成恶意影响的同时也要保护好自己，主打适可而止。
以上相关测试信息测试完成后均已恢复，漏洞均已报告给相应学校且已修复。
4A评测 - 免责申明
本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。
不得将上述内容用于商业或者非法用途，否则一切后果请用户自负。
本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。
如果您喜欢该程序，请支持正版，购买注册，得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解！
程序来源网络，不确保不包含木马病毒等危险内容，请在确保安全的情况下或使用虚拟机使用。
侵权违规投诉邮箱：4ablog168#gmail.com（#换成@）
