api漏洞系列-401、404和302
api漏洞系列-401、404和302
迪哥讲事 2024-09-28 23:28
api漏洞系列-401、404和302
声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。
302Bypass
~http://target.com/admin –> HTTP 302 (redirect to login page)
~http://target.com/admin%20/ -> HTTP 200 OK
~http://target.com/%20admin%20/ -> HTTP 200 OK
~http://target.com/admin%20/page -> HTTP 200 OK
404
http://example[.]com/index.php -> File not found
http://example[.].com/assets../index.php -> source code
http://example[.].com/img../index.php -> source code
http://example[.].com/js../index.php -> source code
http://example[.].com/vendors../index.php -> source code
http://example[.].com/media../index.php -> source code
401相关测试思路
1.文件枚举
2.通过搜索引擎来发现更多信息
3.在github上面搜索类似的域名
4.通过Wayback来搜索查找
5.改变HTTP的方法(get/post/put/delete/patch/…)
6.对cookies,参数，header,hosts,目录进行模糊测试
…
如果你是一个长期主义者，欢迎加入我的知识星球，我们一起往前走，每日都会更新，精细化运营，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款
