**0****0**

**文章背景**

在AI大法强势碾压古法渗透的今天，我认为古法渗透仍需坚持，AI只是放大镜能放大你的能力。但古法，能更好的理解漏洞与挖掘的思路。当有足够实力，使用AI+古法两手抓，效果指定不一般：

![图片](/media/202609/7191042ce9184d89b0a7368422c90a461912.png)

**0****1**

**猎杀开始**

开局一个登录页，爆破无门，密码对了也要接码：

![图片](/media/202609/a7d05c1f908f4622ad7a84bd8e8f448c6605.png)

接下来，我们尝试从JS中提取接口进行测试：

![图片](/media/202609/25aea8f4faa1466592c12f1713d063d56930.png)

那么我们可以看到有接口402条，提出来直接跑一遍：

![图片](/media/202609/9a2aaa9fd46b44f184fc867f40d825226064.png)

全是404吗？不应该啊，难道还少了一层路径？又看了下JS，果然发现个路径：

![图片](/media/202609/c07ce3ff69a142b0aa51b2af14e36a295434.png)

尝试把这个路径拼接在最前面，再次对上述接口进行遍历，分别用GET和POST都跑了一遍：

![图片](/media/202609/c6e7c60aa3984c0c965951d156321bdb3991.png)

活下来唯一的一条接口，同时也是未授权接口。

**0****2**

**发现猎物**

根据上述测试内容，可以确认这个接口是未授权的，而且是POST请求方式。那么这个报错，是什么意思呢？

![图片](/media/202609/993bd4bf16454482a28e2f37d7e817af9547.png)

我们可以看到报错信息，提示的是缺少请求体，又是JAVA对象的报错，那么我们需要改成JSON格式。我们更改请求类型为JSON，然后构造JSON格式请求体发起请求：

![图片](/media/202609/ff77c3af21344fa09b8614bc5ad591db2296.png)

难顶的来了，这里必须同时满足四个参数都正确，否则没法正常请求。

**0****3**

**继续周旋**

这四个参数纯猜真的猜不出来，AI构造了几轮也是不对。不过，在目录扫描的结果里我们发现了一些线索。有一个json文件，泄露了很多HTML静态页面路径：

![图片](/media/202609/c725db238e154701b4d109279149104f6766.png)

在提取后，共计11条静态页面路径：

![图片](/media/202609/53f425d8ea3a42338fd576cc32a7ecb75678.png)

你肯定觉得，哎这HTML页面有啥用啊？大错特错，比如我随便访问一个html的路径：

![图片](/media/202609/0ce1c4b4dca44291ad3fac861012d4a64362.png)

最初会正常加载前端，接下来在请求接口获取数据的时候，接口进行鉴权，发现我没登录，把我踢回了登录页。

**0****4**

**狠狠拿下**

那你要想，为什么最初的时候前端能正常渲染，但在请求接口获取数据的时候会被接口踢出来，明明没有点击搜索，为什么会触发接口请求？

![图片](/media/202609/b415982915074ab1a02d8801943e19044968.png)

首先，HTML是静态页面，不存在鉴权这个东西。接着，它是HTML，又自动对接口请求的话，基本就只有一个可能，是通过JavaScript实现的：

![图片](/media/202609/dd5cb46abdd94b1da2faf16db37e5db99411.png)

好的，如果这样的话，在脚本代码里大概率会有接口地址，而且也会有参数。那么，我们通过BP遍历HTML路径：

![图片](/media/202609/d4d7f32e46a64b37b4153b19e690f30f6110.png)

再通过BP自带的关键词过滤，来过滤数据包。在关键词里，我们填上面发现的未授权接口路径里中的某个词即可：

![图片](/media/202609/0bf403d13d774cd591c088a3421502d21259.png)

过滤后有两条结果里包含对应关键词，接着，在第二条结果里我发现了之前那个未授权接口的地址，包括参数：

![图片](/media/202609/48a9c823432641c5a8a7411e59c195978049.png)

于是，我加上这四个参数，再进行发包：

![图片](/media/202609/c67f8dedde8b46cbb0a50b0b7cc7fb242545.png)

接下来，看看插件被动扫描有无结果：

![图片](/media/202609/a2302a6a6fa34ca287fa3fa0d863a21e6647.png)

SQL报错！直接尝试报错注入了老铁：

```
' and extractvalue(1,concat(0x7e,(database())))='
```

![图片](/media/202609/a3d89ca725aa45ad84eb6d178db5481d8772.png)

我超下机，由于无过滤、无拦截，后续就是骚口迈普直接梭哈，获取二十余万个人敏感信息。

登录页面到未授权SQL注入