某系统webpack接口泄露引发的一系列漏洞
视频教程在我主页简介或专栏里
（不懂都可以来问我 专栏找我哦）
目录：
信息搜集
未授权+敏感信息泄露+越权+任意用户密码重置
1.越权访问
2.大量敏感信息
越权
任意用户密码重置
信息搜集
这里找到从小穿一条裤子长大的兄弟，要挟他交出来他的统一账号，否则把小时候的照片挂网上，开始某大学的资产搜集，直接hunter搜索此大学域名
看有价值的站点，ok找到下面的站点
未授权+敏感信息泄露+越权+任意用户密码重置
1.越权访问
站点是webpack打包 app.js 还有路由的js没有登录就有大量js接口还有path路径泄露
以普通用户身份登录，所有的还活着的接口都能访问，很多管理员才能访问接口也能访问，并且进行增删改查等操作，这里提供几个页面：
2.大量敏感信息
根据上面翻js，找到下面这个页面，接口回显所有用过这个系统的同学和老师的信息，包括身份id，电话，照片，邮箱，学号工号等等，数据量巨大，后面任意用户密码重置会继续利用这些信息
越权
有些页面做了鉴权，没有访问权限，但是通过前面的未授权获得的信息 我们知道各类用户的id和usertype
比如有一个教师列表接口普通学生无法访问，但是在返回包中，把学生的id和usertype修改为管理员对应的参数
成功访问，拿到所有老师的敏感信息
任意用户密码重置
在修改密码界面抓取提交的报文，修改成我们前面拿到的各种信息，对应起来id，userNum，cardNum可以实现所有用户的密码修改和信息修改
对应不起来会报错
重置其他用户密码并且登录成功
视频教程在我主页简介或专栏里
（不懂都可以来问我 专栏找我哦）
申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关
相关文章：
某系统webpack接口泄露引发的一系列漏洞
视频教程在我主页简介或专栏里 （不懂都可以来问我 专栏找我哦） 目录： 信息搜集 未授权敏感信息泄露越权任意用户密码重置 1.越权访问 2.大量敏感信息 越权 任意用户密码重置 信息搜集 这里找到从小穿一条裤子长大的兄弟，要挟他交…...
【计算机网络入门】初学计算机网络（十一）重要
目录 1. CIDR无分类编址 1.1 CIDR的子网划分 1.1.1 定长子网划分 1.1.2 变长子网划分 2. 路由聚合 2.1 最长前缀匹配原则 3. 网络地址转换NAT 3.1 端口号 3.2 IP地址不够用？ 3.3 公网IP和内网IP 3.4 NAT作用 4. ARP协议 4.1 如何利用IP地址找到MAC地址…...
决策树（Decision Tree）基础知识
目录 一、回忆1、*机器学习的三要素：1）*函数族2）*目标函数2.1）*模型的其他复杂度参数 3）*优化算法 2、*前处理/后处理1）前处理：特征工程2）后处理：模型选择和模型评估 3、…...
Nat Mach Intell | AI分子对接算法评测
《Nature Machine Intelligence》发表重磅评测，系统评估AI与物理方法在虚拟筛选（VS）中的表现，突破药物发现效率瓶颈。 核心评测体系：三大数据集 研究团队构建了三个新型测试集： TrueDecoy：含14…...
【自学笔记】Hadoop基础知识点总览-持续更新
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录 Hadoop基础知识点总览1. Hadoop简介2. Hadoop生态系统3. HDFS（Hadoop Distributed File System）HDFS基本命令 4. MapReduceWordCount示例&am…...
【Linux】使用问题汇总
#1 ssh连接的时候报Key exchange failed 原因：服务端版本高，抛弃了一些不安全的交换密钥算法，且客户端版本比较旧，不支持安全性较高的密钥交换算法。 解决方案： 如果是内网应用，安全要求不这么高…...
(二 十 二)趣学设计模式 之 备忘录模式！
目录 一、 啥是备忘录模式？二、 为什么要用备忘录模式？三、 备忘录模式的实现方式四、 备忘录模式的优缺点五、 备忘录模式的应用场景六、 总结 🌟我的其他文章也讲解的比较有趣😁，如果喜欢博主的讲解方式，…...
交叉编译openssl及curl
操作环境：Ubuntu20.04 IDE工具：Clion2020.2 curl下载地址：https://curl.se/download/ openssl下载地址：https://openssl-library.org/source/old/index.html 直接交叉编译curl会报错找不到openssl，所以需要先交叉编…...
【每日八股】计算机网络篇（三）：IP
目录 DNS 查询服务器的基本流程DNS 采用 TCP 还是 UDP，为什么？默认使用 UDP 的原因需要使用 TCP 的场景？总结 DNS 劫持是什么？解决办法？浏览器输入一个 URL 到显示器显示的过程？URL 解析TCP 连接HTTP 请求页…...
Gartner：数据安全平台DSP提升数据流转及使用安全
2025 年 1 月 7 日，Gartner 发布“China Context：Market Guide for Data Security Platforms”（《数据安全平台市场指南——中国篇》，以下简称指南），报告主要聚焦中国数据安全平台（Data Securit…...
从vue源码解析Vue.set()和this.$set()
前言 最近死磕了一段时间vue源码，想想觉得还是要输出点东西，我们先来从Vue提供的Vue.set()和this.$set()这两个api看看它内部是怎么实现的。 Vue.set()和this.$set()应用的场景 平时做项目的时候难免不会对 数组或者对象 进行这样的骚操作操作ÿ…...
深入浅出：UniApp 从入门到精通全指南
https://juejin.cn/post/7440119937644101684 uni-app官网 uniapp安卓离线打包流程_uniapp离线打包-CSDN博客 本文是关于 UniApp 从入门到精通的全指南，涵盖基础入门（环境搭建、创建项目、项目结构、编写运行）、核心概念与进阶知识&#x…...
DeepSeek未来发展趋势：开创智能时代的新风口
DeepSeek未来发展趋势：开创智能时代的新风口 随着人工智能（AI）、深度学习（DL）和大数据的飞速发展，众多创新型技术已经逐渐走向成熟，而DeepSeek作为这一领域的新兴力量，正逐步吸引越…...
阻塞队列的实现（线程案例）
一.什么是阻塞队列？ 1.如果对于一个满的队列，还要把元素入队列，此时这个队列就会阻塞等待，一直阻塞到这个队列不满为止，从而把这个元素入队列！ 2.如果对于一个空的队列，还要从队列拿出元素&…...
http status是什么？常见的http状态码指的是什么意思？
HTTP 状态码 HTTP 状态码（HTTP Status Code）是服务器在响应客户端请求时返回的一个三位数字代码，用于表示请求的处理结果。HTTP 状态码是 HTTP 协议的一部分，帮助客户端（如浏览器或应用程序）了解请求是否成…...
react组件分离,降低耦合
分离前 分离后...
【AI】AI白日梦+ChatGPT 三分钟生成爆款短视频
引言 随着人工智能（AI）技术的快速发展，AI在各个领域都展现出了强大的应用潜力。其中，自然语言处理技术的进步使得智能对话系统得以实现，而ChatGPT作为其中的代表之一，具有自动生成文本的能力，为…...
MYSQL的安装教程
mysql安装分为：普通安装和压缩包安装 压缩包安装很多会存在安装失败的情况，所以我这里就用了普通安装 一、官网下载安装包 www.mysql.com 点击DOWNLOADS： 进入社区版本下载： 点击最下面一行进行下载： 选择第二个离…...
深入解析 C# 中的泛型：概念、用法与最佳实践
C# 中的 泛型（Generics） 是一种强大的编程特性，允许开发者在不预先指定具体数据类型的情况下编写代码。通过泛型，C# 能够让我们编写更灵活、可重用、类型安全且性能优良的代码。泛型广泛应用于类、方法、接口、委托、集合等多个方…...
NUMA架构介绍
NUMA 架构详解 NUMA（Non-Uniform Memory Access，非统一内存访问） 是一种多处理器系统的内存设计架构，旨在解决多处理器系统中内存访问延迟不一致的问题。与传统的 UMA（Uniform Memory Access，统一内存访问…...
LBE-LEX系列工业语音播放器|预警播报器|喇叭蜂鸣器的上位机配置操作说明
LBE-LEX系列工业语音播放器|预警播报器|喇叭蜂鸣器专为工业环境精心打造，完美适配AGV和无人叉车。同时，集成以太网与语音合成技术，为各类高级系统（如MES、调度系统、库位管理、立库等）提供高效便捷的语音交互体验。 L…...
Chapter03-Authentication vulnerabilities
文章目录 1. 身份验证简介1.1 What is authentication1.2 difference between authentication and authorization1.3 身份验证机制失效的原因1.4 身份验证机制失效的影响 2. 基于登录功能的漏洞2.1 密码爆破2.2 用户名枚举2.3 有缺陷的暴力破解防护2.3.1 如果用户登录尝试失败次…...
日语学习-日语知识点小记-构建基础-JLPT-N4阶段（33）：にする
日语学习-日语知识点小记-构建基础-JLPT-N4阶段（33）：にする 1、前言（1）情况说明（2）工程师的信仰2、知识点（1） にする1，接续：名词＋にする2，接续：疑问词＋にする3，（A）は（B）にする。（2）復習：（1）复习句子（2）ために ＆ ように（３）そう（４）にする3、…...
React Native 开发环境搭建（全平台详解）
React Native 开发环境搭建（全平台详解） 在开始使用 React Native 开发移动应用之前，正确设置开发环境是至关重要的一步。本文将为你提供一份全面的指南，涵盖 macOS 和 Windows 平台的配置步骤，如何在 Android 和 iOS…...
《Qt C++ 与 OpenCV：解锁视频播放程序设计的奥秘》
引言：探索视频播放程序设计之旅 在当今数字化时代，多媒体应用已渗透到我们生活的方方面面，从日常的视频娱乐到专业的视频监控、视频会议系统，视频播放程序作为多媒体应用的核心组成部分，扮演着至关重要的角色。无论是在个人电脑、移动设备还是智能电视等平台上，用户都期望…...
多场景 OkHttpClient 管理器 - Android 网络通信解决方案
下面是一个完整的 Android 实现，展示如何创建和管理多个 OkHttpClient 实例，分别用于长连接、普通 HTTP 请求和文件下载场景。 <?xml version"1.0" encoding"utf-8"?> <LinearLayout xmlns:android"http://schemas…...
新能源汽车智慧充电桩管理方案：新能源充电桩散热问题及消防安全监管方案
随着新能源汽车的快速普及，充电桩作为核心配套设施，其安全性与可靠性备受关注。然而，在高温、高负荷运行环境下，充电桩的散热问题与消防安全隐患日益凸显，成为制约行业发展的关键瓶颈。 如何通过智慧化管理手段优化散…...
DeepSeek 技术赋能无人农场协同作业：用 AI 重构农田管理 “神经网”
目录 一、引言二、DeepSeek 技术大揭秘2.1 核心架构解析2.2 关键技术剖析 三、智能农业无人农场协同作业现状3.1 发展现状概述3.2 协同作业模式介绍 四、DeepSeek 的 “农场奇妙游”4.1 数据处理与分析4.2 作物生长监测与预测4.3 病虫害防治4.4 农机协同作业调度 五、实际案例大…...
在QWebEngineView上实现鼠标、触摸等事件捕获的解决方案
这个问题我看其他博主也写了，要么要会员、要么写的乱七八糟。这里我整理一下，把问题说清楚并且给出代码，拿去用就行，照着葫芦画瓢。 问题 在继承QWebEngineView后，重写mousePressEvent或event函数无法捕获鼠标按下事…...
处理vxe-table 表尾数据是单独一个接口，表格tableData数据更新后，需要点击两下，表尾才是正确的
修改bug思路： 分别把 tabledata 和 表尾相关数据 console.log() 发现 更新数据先后顺序不对 settimeout延迟查询表格接口 ——测试可行 升级↑：async await 等接口返回后再开始下一个接口查询 ________________________________________________________…...