利用检查元素绕过安全限制 | 漏洞赏金概念验证

作者：MuhammadKhizerJaved

大家好，这篇博客是关于一个漏洞赏金报告，我通过使用检查元素成功绕过了安全限制，免费使用了付费功能。

问题描述

这个问题执行起来非常简单。我当时在寻找免费使用服务的方法，并且很容易就找到了，因此决定将这篇博客作为漏洞赏金技巧分享给大家。我会尽量保持简单明了。

概念验证（POC）

当我创建一个免费账户时，收到了以下欢迎消息。

这意味着我只能使用有限的功能。我本可以注册免费试用，但谁不喜欢免费使用所有功能呢？

所以我决定四处查看，并进入了设置页面。

但所有付费选项都被禁用了，因此我无法使用它们。像往常一样，我首先尝试检查页面源代码。

在检查过程中，我发现所有表单似乎都被禁用了。

只需将

1

<fieldset disabled>

改为

1

<fieldset enabled>

即可启用该功能。

这样我就能够完全免费使用这些功能了。这就是黑客技术的精髓所在。正如所说：“有时候，黑客技术只是某人在某件事上花费了比任何人合理预期更多的时间。”深入研究那些看似无意义的事情总是有好处的。

喜欢这样：正在加载…

通过注册功能实现用户账户接管 | 漏洞赏金概念验证
通过帮助台黑客攻击公司 - 票据技巧 | 漏洞赏金概念验证
RCE不安全的Jenkins实例 | 漏洞赏金概念验证

发现更多来自安全漏洞博客的内容订阅以获取最新文章发送到您的邮箱。

标签：BugBounty, 漏洞赏金概念验证, 教程

MuhammadKhizerJaved 专注且经验丰富的网络安全专业人士，拥有8年多的漏洞赏金狩猎活跃参与经验，以及4年的渗透测试经验。擅长Web和移动应用程序安全测试及漏洞评估，活跃于HackerOne和Bugcrowd等平台。我在漏洞赏金领域的贡献已获得200多家知名组织的认可，包括苹果、谷歌、Facebook、新加坡政府和美国国防部。作为社区发展的倡导者，我积极作为演讲者贡献，在本地大学进行讲座，并在各种安全会议上发表演讲，包括两次在BlackHat MEA。对成长充满热情，总是乐于与其他安全从业者联系。