继钓鱼网站再测试

本帖最后由 sievr 于 2020-4-15 10:49 编辑

这是继朋友被骗，看我小试一波钓鱼网站之后的再一次测试

今晚闲的无聊，便又去探测了一波钓鱼网站，发现他又在骗人
那我肯定不能让他如意啊，得想办法搞进去
此时发现他密码已经改了，常规手段进不去了
然后我来到钓鱼界面，发现没什么特点，便试了下点击购买
一看链接，有id了
$)}EBCR2J0N}XSUZ}ES@~0H.png

那直接最简单的单引号测试
H4~W4RML@SRR342Y07W@{80.png

发现报错，初步猜测有注入点（其实基本已经坐实了）
要是能注入的话，我岂不又能登进去后台了
直接丢sqlmap
2(1A1)G]AB}`47A]OURCXH5.png

经过一番挣扎，注入点已出，下面继续出库
AHY(NBV`WGTX2I1MQOFDG.png

然后出表，但是在出表的时候遇到了问题
无法猜出表，应该是用户自定义表前缀了
在尝试用sqlmap自带的表爆破一波后无果
DM7(`NQBX48C075L3PH(9NG.png

所以又是一个无奈的注入点啊
到此只能放弃
下面附上注入点，希望寻求能人之士查出表，进而拿到账号密码

http://www.jiaoyim22.xyz/quanxin/buy.php?id=0

当然，睡醒一觉的我表示不服啊，连个钓鱼网都搞不定，我还有脸见人吗
然后开启我的半吊子社工水平，先ping再说
@HEV}}FG2ZYM9JXQT}9X4AO.png