在授权对某个项目来测试时，我们得知目标的子域名存在未授权的API，这引发了一系列问题。在此，我们将情况记录下来并和大家分享。

  2. 通过FindSomething插件，小星发现了其他接口。然而，当尝试访问其中的某个接口时，却直接跳转到了登录界面。

  4. 尽管未曾发现弱口令问题，但通过Burp插件扫描，小星发现该网站存在未授权的Swagger API接口（/v2/api-docs）。一般的情况下，直接访问该接口会被拦截。为了更好地发现潜在的未授权API接口，小星推荐使用Burp插件RouteVulScan。通过自定义常见未授权接口，可以更全面地检测API接口，提高安全性。

  5. 根据接口文档，小星尝试构造了一个请求，其中id参数为111，但未授权的情况下成功获取到了数据。这表明该接口存在未授权访问的风险。

  7. 在返回的数据包中，小星发现链接地址中存在用户的真实数据。此外，通过查询接口?type=0，我们大家可以获取到系统的全部排期信息。

  8. 在某个接口getUserByRoleId中，存在一个功能是获取系统用户列表，这中间还包括loginName、id、orgid等参数信息。这一些信息对于后续的漏洞利用至关重要。

  9. 在账号收集过程中，我尝试使用常见的弱密码（如123456和111111）进行爆破，并成功地发现了一个账号存在弱密码。

  10. 进入后台后，小星发现这个账号没有数据。通过查看登录的返回包信息，我们得知其中的数据与之前获取的系统用户个人信息非常相似。进一步尝试修改登录成功返回包中的参数id的值，替换成其他用户的id值，我们成功地登录了其他账号。

  特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。

  奥运女排八强夺金几率：巴西22%，意大利20%，中国13%，美国12%

  淘票票、驴妈妈等21款APP违规收集使用个人隐私信息；“众诚车险”理赔服务质量垫底

  妈妈不敢喝豆汁让女儿先尝试一下，萌娃喝出表情包直接干呕，“此时笑容一定转移到了妈妈的脸上”

  TTS新传论文带读：奥运会的“媒介仪式”可以用这篇论文当答案耶....

  与中坚力量共成长，2024建信信托艺术大奖评委会特别奖获奖艺术家凌海鹏