正文

目標(biāo)小程序已上線，但僅能申請(qǐng)后內(nèi)部員工使用，是一個(gè)廉政答題小程序。

打開(kāi)小程序，打開(kāi)burp，嘗試登錄,用戶未找到.....

啊這，第一步就受阻，那就看看抓到的包吧。

直接訪問(wèn)下域名，發(fā)現(xiàn)Django debug模式開(kāi)啟，能看到所有路徑，api路徑！

訪問(wèn)下/api/user/,發(fā)現(xiàn)有/user_list/目錄可以查看所有用戶信息，。

訪問(wèn)user_list目錄，burp抓包改post，添加content-type: application/json，返回了所有內(nèi)部用戶個(gè)人信息....構(gòu)造個(gè)json可以翻頁(yè)查看，一共有1200+用戶。

通過(guò)/add_user/接口，構(gòu)造json，成功把自己手機(jī)號(hào)添加為內(nèi)部用戶，可以登錄進(jìn)入小程序。

delete_user/ update_user/ 等接口可以刪除和更新用戶信息。測(cè)試完后通過(guò)delete_user刪除了測(cè)試賬號(hào)。
先登錄進(jìn)小程序看看，頁(yè)面只有廉政答題和問(wèn)卷，個(gè)人頁(yè)面只有分?jǐn)?shù)之類(lèi)的信息沒(méi)啥用。進(jìn)入答題抓包發(fā)現(xiàn)每道題題目答案返回在響應(yīng)包中......

通過(guò)/api/question/question_list/接口發(fā)現(xiàn)了題庫(kù)和答案，一共565道題目，還有接口可以添加刪除題目

然后在worklog，workplan等4個(gè)接口發(fā)現(xiàn)任意文件上傳....但是不解析

通過(guò)postman構(gòu)造上傳，文件路徑可用worklog其它接口查看到

還有其它接口可以查看任何人的工作計(jì)劃工作日志等.....
登錄驗(yàn)證碼也可繞過(guò)驗(yàn)證，修改響應(yīng)包就可成功繞過(guò),進(jìn)入小程序。

總結(jié)

這個(gè)小程序問(wèn)題很多，也不知道為什么沒(méi)有經(jīng)過(guò)測(cè)試就上線了，但是最主要的還是Django debug模式?jīng)]關(guān)，知道了這個(gè)小程序的所有接口路徑，才造成了這么多問(wèn)題，只列舉了部分高中危漏洞，所有api接口都可以直接構(gòu)造json訪問(wèn).....