前言
看了 T00ls 的漏洞监测：老板电器(robam.com) 某分站弱口令[T00ls-2022-00159] - T00ls.Com
标题是：老板电器(robam.com) 某分站弱口令[T00ls-2022-00159]
由于 T00ls 的漏洞监测漏洞细节是不会公开的，于是打算自己尝试一下，因为漏洞危害等级为低风险，所以难度应该不会大。
fofa 搜索
依次点了几个，发现了一个后台管理系统
判断该后台是用vue+elementui写的，这个比较熟悉，用google浏览器自带的开发者工具就可以直接查看源码
可以看到暴漏了所有的api接口
burpsuite 爆破
既然是弱口令，总要试一下，上Github下载了后台爆破的常用字典
先抓包看下
试一下是否存在sql注入漏洞
没想到还真的存在。。。还是先爆破弱口令吧。
配置一下爆破字典
等了一秒不到，爆破成功
尝试登录看看
登录成功
原创声明
本文为蓝空安全（NAUYX）原创，原文地址：https://www.nauyxsec.com/archives/32.html