- 简介
- 目录大纲
- 最新文档
9 字典查询
用于手工测试时，各种常用的字典数据，根据场景一键复制，导入 burp 后，进行 fuzz，同时具备查看字典描述等详细信息。 使用场景 1、提取密码字典，筛选方式： 公共筛选器：Top 10【可选，根据频率排序】 类型筛选器：6 位纯数字字母、6 位以上纯数字字母、8 位以下数字字母特殊字符（含八位）、8 位以上数字字母特殊字符、默认口令合集 2、提取默认账号密码 类型筛选器：数据库服务、设备服务……
myh0st - 2026年3月20日 15:13
0x01 FuZZ 技巧
字典 Fuzz 各类服务的用户名密码 各类常见产品的密码 中文用户姓名字典 子域名字典爆破 手机号码字典 手机号场景 1、手机号枚举--一线城市 2、手机号隐藏中间四位--枚举出真实手机号 根据服务类型区分 数据库服务 网络设备 管理后台 目录 FuZZ 后端文件爆破 前端文件爆破 以及目录报告 接口服务目录爆破 根据框架区分 PHP 应用框架 Springboot 框架 接口测试 各类接口文档 ……
myh0st - 2026年3月20日 10:19
第九章：工具拓展
日常挖洞常用工具及技巧 burpsuite 隐藏文件后缀 js,gif,jpg,png,css,mp3,bmp,woff,woff2,ico 通过 mime 头过滤，存在漏报，某些接口可以获取图片，可能被过滤掉 使用代理池 绕过 WAF 拦截 插件 漏洞扫描 ShiroScan FastjsonScan Log4j2BurpScanner J2EEScan Struts2burp 信息收集 Ha……
myh0st - 2026年3月18日 15:33
0x01 微信公众号、小程序等 secret 泄露
通常出现在 js 代码中，在获取到 微信 open id 和 secret 比如： https://api.weixin.qq.com/cgi-bin/token?grant_type=client_credential&appid=wx95415c456652ce73&secret=qkj9fu5ajkfyublon5m1fu6fmocmv4jn 填入 上面的 url 访问……
myh0st - 2026年3月18日 11:18
0x02 地图 API key 泄露
系统调用地图 key 是付费的，但是价格好像也不高，如果 key 泄露，可以别他人调用刷取额度，导致资金损失，但是成本好像不太高，危害不太够，国内三大地图企业 API 格式及价位。 高德地图 一万次调用 30 块，被盗刷的危害也就是经济损失。案例： 高德 webapi https://restapi.amap.com/v3/direction/walking?origin=116.434307……
myh0st - 2026年3月18日 10:20
第八章：权限控制类
垂直越权、横向越权以及未授权漏洞相关 不同用户访问不同级别的资源，如果存在权限控制不合理的情况，那么就存在安全风险 越复杂的系统越容易出现权限相关的安全风险 水平越权 用户之间的数据访问，出现频率最高的场景为：用户评论处（发表、查询、删除） 最常出现的地方：查询、删除等功能处 案例：评论处操作他人评论，操作子账号功能越权添加别人账号到自己系统下（扩展一下达到信息泄露的效果） 垂直越权 系统设置的角……
myh0st - 2026年3月17日 17:21
4 数据库管理
清理 API 接口 delete from api_info where website_id in (select website_id from fingerprint_result where fingerprint_id in (select id from fingerprint where type_flag in (2,5))); 更新通用 update website set is……
myh0st - 2026年3月17日 11:35
第七章：支付逻辑类
01 购买支付类 并发支付 并发支付：多个线程同时访问共享资源， 并且只有一个线程修改了资源，就可能发生条件竞争 存在数量限制的地方，比如红包领取数量、库存数量、单人可购买数量 案例：当账户余额较少，只能买一个商品，使用并发，也许可以实现透支账户购买多个商品，余额变成负数 购买逻辑： 1、检查账户余额 多个线程完成这一步，就能实现透支账户购买多个商品的情况 2、完成购买 burp --- tu……
myh0st - 2026年3月14日 08:45
第六章：验证码专题
验证机制 1、可预测的用户名 2、可预测的密码 3、验证码的机制类 会话管理缺陷 1、会话劫持（盗取 seesion id 劫持账户） --》 小程序居多 2、认证 cookie 欺骗 -》 可预测 3、会话定位 -》 通过 GET 传输 session id，容易被盗取 短信、邮箱轰炸 横向轰炸：不同的手机号发送一条（通常不收）如果内容可控，危害升级 纵向轰炸：同一个手机号，发送多条 频率绕……
myh0st - 2026年3月11日 15:41