文章总结： 本文记录了一次渗透测试实战，作者利用资产测绘发现某周报系统存在弱口令并登录。通过查看操作日志泄露的个人信息定位目标学校。随后在校园一卡通功能中发现逻辑漏洞，篡改ajaxState参数绕过验证修改支付密码。建议修复弱口令、过滤日志敏感信息并加强业务逻辑校验。
综合评分： 75
文章分类： 渗透测试,实战经验,WEB安全
在资产测绘查询若依框架时找到了一个某周报管理系统
zkaq-sd9ard3n
zkaq-sd9ard3n
掌控安全EDU
2026年3月12日 11:14
江西
扫码领资料
获网安教程
本文由掌控安全学院 – sd9ard3n 投稿
来Track安全社区投稿~
千元稿费！还有保底奖励~（ https://bbs.zkaq.cn ）****
在资产测绘查询若依框架时找到了一个某周报管理系统
直接先来一手弱口令admin/123456,888888,admin123,admin888
也是相当容易就让我登录进去了
进去之后周报和考核可以增删改查
本来到这里就打算交个弱口令就算了，但是我竟然连是哪个学校都不知道咋交啊
气急败坏之时，去翻了翻操作日志
发现在他们修改个人信息或注册后，个人信息里可能会泄露手机号，学号，邮箱等
如果大多数个人信息中填入了跟学校有关的信息，或者说他们把密码改成了教务系统的密码，我不就可以确认信息了嘛
理论存在，实践开始
ok啊找了半天不白找，运气好，这下学校和一组学号密码都拿到了
尝试登录该学校的统一认证
但是感觉都到这里了就交个弱口令的话又有点可惜
继续查找功能点，找到一个校园一卡通
也是来测试一下这个修改密码，密保等功能点
随便填支付密码下一步抓包
ajaxState ：2 莫名的感觉，直接改一手1
wc？这么简单？
去修改支付密码这里验证一下
真行哦，小白又捡到洞了
另外两个点，修改密码和密码找回都是同样的操作，都是改成1绕过验证
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
没看够~？欢迎关注！
分享本文到朋友圈，可以凭截图找老师领取
上千教程+工具+交流群+靶场账号哦
分享后扫码加我！
回顾往期内容
代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！
点赞+在看支持一下吧~感谢看官老爷~
你的点赞是我更新的动力
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：掌控安全EDU zkaq-sd9ard3n
zkaq-sd9ard3n《在资产测绘查询若依框架时找到了一个某周报管理系统》