**0****0**

**文章背景**

在AI大法强势碾压古法渗透的今天，我认为古法渗透仍需坚持，AI只是放大镜能放大你的能力。但古法，能更好的理解漏洞与挖掘的思路。当有足够实力，使用AI+古法两手抓，效果指定不一般：

![图片](/media/202609/67f185ce7e8c40dc8b5f73c607b37a562873.png)

**0****1**

**猎杀开始**

开局一个登录页，爆破无门，密码对了也要接码：

![图片](/media/202609/13efa61933f44c0789a5d945892927a93664.png)

接下来，我们尝试从JS中提取接口进行测试：

![图片](/media/202609/b1ecb26338804c1b965cf08d428ef6113634.png)

那么我们可以看到有接口402条，提出来直接跑一遍：

![图片](/media/202609/282765e8c709423cb93dbb7caebc236c5457.png)

全是404吗？不应该啊，难道还少了一层路径？又看了下JS，果然发现个路径：

![图片](/media/202609/8c3ac054e52a4f659f59f59b2a5e5eba9802.png)

尝试把这个路径拼接在最前面，再次对上述接口进行遍历，分别用GET和POST都跑了一遍：

![图片](/media/202609/ec8ba8789502496693034dadf99a9fff9002.png)

活下来唯一的一条接口，同时也是未授权接口。

**0****2**

**发现猎物**

根据上述测试内容，可以确认这个接口是未授权的，而且是POST请求方式。那么这个报错，是什么意思呢？

![图片](/media/202609/0d677f38f7d745429269fca65f43540d2494.png)

我们可以看到报错信息，提示的是缺少请求体，又是JAVA对象的报错，那么我们需要改成JSON格式。我们更改请求类型为JSON，然后构造JSON格式请求体发起请求：

![图片](/media/202609/a903038f4a9f4d2eaf749743dfdf89832539.png)

难顶的来了，这里必须同时满足四个参数都正确，否则没法正常请求。

**0****3**

**继续周旋**

这四个参数纯猜真的猜不出来，AI构造了几轮也是不对。不过，在目录扫描的结果里我们发现了一些线索。有一个json文件，泄露了很多HTML静态页面路径：

![图片](/media/202609/c0ac304705f94a7895a0542e4e33d00a5560.png)

在提取后，共计11条静态页面路径：

![图片](/media/202609/a94b3fcfc5a84507bf21e86869afd3297536.png)

你肯定觉得，哎这HTML页面有啥用啊？大错特错，比如我随便访问一个html的路径：

![图片](/media/202609/cfe6cee5ad01465c8448ae2ca6c67ee81313.png)

最初会正常加载前端，接下来在请求接口获取数据的时候，接口进行鉴权，发现我没登录，把我踢回了登录页。

**0****4**

**狠狠拿下**

那你要想，为什么最初的时候前端能正常渲染，但在请求接口获取数据的时候会被接口踢出来，明明没有点击搜索，为什么会触发接口请求？

![图片](/media/202609/7c0d994605a34047b5266399dd227f0c3221.png)

首先，HTML是静态页面，不存在鉴权这个东西。接着，它是HTML，又自动对接口请求的话，基本就只有一个可能，是通过JavaScript实现的：

![图片](/media/202609/cbf83946e51a47af93ad5559fed8dc752752.png)

好的，如果这样的话，在脚本代码里大概率会有接口地址，而且也会有参数。那么，我们通过BP遍历HTML路径：

![图片](/media/202609/c447569402ff4dffb5d6acfcf5afc13e7608.png)

再通过BP自带的关键词过滤，来过滤数据包。在关键词里，我们填上面发现的未授权接口路径里中的某个词即可：

![图片](/media/202609/667de804a51f4c8cb2e9937b12f3d5943521.png)

过滤后有两条结果里包含对应关键词，接着，在第二条结果里我发现了之前那个未授权接口的地址，包括参数：

![图片](/media/202609/269b4d4133e04d6eb422f8f300f8ca727919.png)

于是，我加上这四个参数，再进行发包：

![图片](/media/202609/5a1c88ba22fb4b998a94dfaf66ee87fa1643.png)

接下来，看看插件被动扫描有无结果：

![图片](/media/202609/d6c310594050419aad90cfaf04c75b569296.png)

SQL报错！直接尝试报错注入了老铁：

```
' and extractvalue(1,concat(0x7e,(database())))='
```

![图片](/media/202609/0204b51cbbe14d19ae5885efa58c40e17764.png)

我超下机，由于无过滤、无拦截，后续就是骚口迈普直接梭哈，获取二十余万个人敏感信息。

开局从登录到未授权注入