SeeMore！一个漏洞挖掘小工具

黑白之道 2025-04-20 11:35

工具介绍

1、在某系统发现在导入文件时，文件内容没有进行过滤导致存储型xss注入，可以发送任何人或提交模板（管理员会审查）危害挺大的，然后提交漏洞后他进行了修复。

2、但是
程序员只是将导入功能的元素添加”display: none;”隐藏起来了，但是这个功能还是存在，所以可以通过将”display: none;”删除达到显示导入功能（二次绕过）。

3、这里再提供一思路，在第2次修复后，程序员可能只是将页面对应的代码段删除，但是后端的api仍然存在，可以利用之前的数据包（可能需要修改Cookie）进行重放攻击。

但是如果每次都要去手动修改不可见元素为可见就太麻烦了，还可能错过一些可利用的功能点，所以就做了这个插件可以显示隐藏的可点击（重点）元素，不会将一些无用的文本弹窗等显示出来造成页面的不美观，下面讲讲这个插件的应用场景以及安装方法。

如果大家在使用过程中遇到了bug或一些没有成功显示的元素，可以提交到issues中，我会尽快完善匹配规则，感谢大家支持。

工具使用

1、这里以Webgoat靶场为例

2、点击 Show Hidden 即可，显示出隐藏的按钮。点击 recover 即可恢复之前的页面。

3、安装教程，Google 打开 chrome://extensions/ 链接，开启开发者模式，点击”加载以解压的扩展程序”，选择下载解压后的文件夹导入即可。

1、添加显示通过 <!– 注释隐藏起来的可点击内容，这个页面存在隐藏的功能框

2、点击 Show Hidden 显示功能

发现上传功能，可以上传任意后缀但是对于大多数文件不解析，但可以解析html文件

下载地址

https://github.com/Bbdolt/SeeMore

文章来源：Hack分享吧

黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！

如侵权请私聊我们删文

END

近期文章