裸聊敲诈app渗透

#1

下面是app的登陆页面，但是我没有邀请码。只能burp抓包，

POST /api/uploads/api HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Accept: text/plain
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Linux; Android 5.1.1; MI 9 Build/NMF26X; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/74.0.3729.136 Mobile Safari/537.36 Html5Plus/1.0 (Immersed/25.0)
Host: x.x.x.x
Connection: close
Content-Length: 38

data=13838383838'**12345'**Xiaomi-MI9'

扔进sqlmap跑一下，没有注入。那就另辟蹊径，看看有没有后台。
反手就是一个admin输入进去。直达后台登陆页面，开发也很大方，账号密码也放在那边，以为会修改密码，但是人家就是这么豪横。没改，那就不客气了，成功进入后台

取证完成，上交警察叔叔
TCV=1

=============================================
==================New Edition:===================
=============================================

下面是app的登陆页面，但是我没有邀请码。只能burp抓包，

POST /api/uploads/api HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Accept: text/plain
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Linux; Android 5.1.1; MI 9 Build/NMF26X; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/74.0.3729.136 Mobile Safari/537.36 Html5Plus/1.0 (Immersed/25.0)
Host: x.x.x.x
Connection: close
Content-Length: 38

data=13838383838'**12345'**Xiaomi-MI9'

扔进sqlmap跑一下，没有注入。那就另辟蹊径，看看有没有后台。
反手就是一个admin输入进去。直达后台登陆页面，开发也很大方，账号密码也放在那边，以为会修改密码，但是人家就是这么豪横。没改，那就不客气了，成功进入后台

取证完成，上交警察叔叔
TCV=1

=============================================
==================New Edition:===================
=============================================

踩帖记录

T00ls路人甲：实在不明白这个帖子意义何在？我看完了就只得到两个信息，抓包获取URL，URL后面可以尝试加admin，然后呢？？？现在这么水了吗（2020-04-16 15:59:51）
T00ls路人乙：这也水的太严重了啊，能不能不要因为限号就临时发个什么水文吧（2020-04-17 09:30:16）
T00ls路人丙：没看懂这是在干啥。。。没看懂这是在干啥。。。（2020-04-17 14:50:55）
T00ls路人丁：就这?TCV=1? 弟弟是来搞笑得吗.....（2020-04-18 01:49:36）
T00ls路人戊：就这?TCV=1? 弟弟是来搞笑得吗.....（2020-04-20 10:23:17）
T00ls路人己：長這麼大第一次踩人家貼，後面都拿shell了至少發個拿shell思路也好啊，老鐵（2020-04-21 08:12:10）
T00ls路人庚：这也水的太严重了啊，能不能不要因为限号就临时发个什么水文吧（2020-04-30 17:50:09）
T00ls路人辛：就这？TCV=1?水贴一时爽，明天火葬场。（2020-04-30 22:01:38）
T00ls路人壬：水贴真的水水贴真的水水贴真的水（2020-05-28 09:58:24）
T00ls路人癸：这是啥为啥看你们操作都觉得站这么好日（2020-06-04 18:22:47）
T00ls路人子：就这?TCV=1? 弟弟是来搞笑得吗.....（2020-11-13 11:31:29）
T00ls路人丑：找到后台 admin弱口令？后台文件上传getshell? 这些都没讲感觉裁缝一样拼凑的文章（2021-01-04 16:37:40）
T00ls路人寅：挺水的，标题比较唬人，基本的OWASP的内容...（2021-08-25 12:40:36）
T00ls路人卯：太水了吧，亏我还特地点进来看看想学app技巧，这种偶然性强没啥技术含量的帖子能换区吗？（2021-08-25 13:16:12）
T00ls路人辰：就这？TCV=1?水贴一时爽，明天火葬场。（2021-08-25 16:41:11）
T00ls路人已：就两部抓个链接 admin 123456 进入后台没了。（2021-08-26 15:23:01）
T00ls路人午：。。。TCV=-99我觉得可行。要不然这文章。。。（2021-09-03 14:17:44）
T00ls路人未：就这？TCV=1?水贴一时爽，明天火葬场（2021-10-12 16:21:47）
T00ls路人申：好像看了又好像啥也没看到。好像是app渗透，又不是app.（2021-10-18 00:37:15）
T00ls路人酉：兄弟你这么发帖子你号要没了，搞点有用的东西（2021-12-04 23:13:24）
T00ls路人戌：水的离谱，写这样的帖子浪费时间!!!!!（2021-12-09 10:26:31）
T00ls路人亥：太水了吧，亏我还特地点进来看看想学app技巧，这种偶然性强没啥技术含量的帖子能换区吗？（2022-01-21 02:45:50）