|
|
|
|
@ -278,7 +278,7 @@ python sqlmap.py -u "http://www.ubraintv.com/watchchannel.php?id=6" -D mysql -T
|
|
|
|
|
|
|
|
|
|
### 2.3. Подбор пароля (Brute-force attack)
|
|
|
|
|
|
|
|
|
|
Зайти на сайт `http://10.5.143.103:3000/#/login`
|
|
|
|
|
Зайти на сайт http://10.5.143.103:3000/#/login
|
|
|
|
|
|
|
|
|
|
Проверить, что отображается в Burp Suite. Войти с учётными данными в приложение (admin@juice-sh.op / admin123)
|
|
|
|
|
Выйти из приложения.
|
|
|
|
|
@ -336,7 +336,7 @@ python sqlmap.py -u "http://www.ubraintv.com/watchchannel.php?id=6" -D mysql -T
|
|
|
|
|
|
|
|
|
|
### 2.5. Прямой доступ к объектам
|
|
|
|
|
|
|
|
|
|
Зайдите на сайт `http://10.5.143.103:3000/`
|
|
|
|
|
Зайдите на сайт http://10.5.143.103:3000/
|
|
|
|
|
|
|
|
|
|
Попробуем найти панель администратора, которой нет в интерфейсе (нет кнопки, на которую можно нажать и перейти в админ-панель).
|
|
|
|
|
|
|
|
|
|
@ -346,13 +346,13 @@ python sqlmap.py -u "http://www.ubraintv.com/watchchannel.php?id=6" -D mysql -T
|
|
|
|
|
|
|
|
|
|
<image src="assets/L3_35.jpg">
|
|
|
|
|
|
|
|
|
|
Таким образом, обратившись напрямую к `http://10.5.143.103:3000/#/administration` попадем в панель администратора
|
|
|
|
|
Таким образом, обратившись напрямую к http://10.5.143.103:3000/#/administration попадем в панель администратора
|
|
|
|
|
|
|
|
|
|
***Скриншот**
|
|
|
|
|
|
|
|
|
|
### 3. Задание
|
|
|
|
|
|
|
|
|
|
На сайте `http://10.5.143.103:3000/#/` найти и сделать скриншот:
|
|
|
|
|
На сайте http://10.5.143.103:3000/#/ найти и сделать скриншот:
|
|
|
|
|
* Cross-Site Scripting (XSS)
|
|
|
|
|
* SQL Injection
|
|
|
|
|
* Панель scoreboard
|
|
|
|
|
|
