CNVD事件到补天通杀赏金漏洞挖掘

挖洞,讲究的是个运气

Body：日常挖洞我比较喜欢打开fofa和hunter和360搜索关键字，反正各种组合慢慢找慢慢看说不定就出货了

body=”系统” && country=”CN”能打的资产贼多吧然后去偶遇,看到功能点都随手测一下

随便翻翻看先看这个站点有哪些功能点

看到搜索框 就试了试注入,Xss和可能存在ssrf，就加了个’看有无报错

http://xxx.xx.xxx.xxx/search/?key=1%27

还真报错了挖洞9分运气 于是用SQLmap和超级SQL梭哈

交完cnvd之后就想会不会有这套模板同样特征的漏洞呢

于是翻网页源代码

拿到hunter去看资产贼多

Ok通杀到手，但资产不满足5000w于是交了补天

补天收录通用的规则是前台漏洞比如前台注入未授权rce啥的

然后漏洞复现互联网案例十例复现三案例十

判断有注入，然后sqlmap一把梭

还是扔进sqlmap梭哈

Sqlmap梭哈

​ –记2022年12.30的一次拿到赏金的小通杀