WackoPicko 渗透测试通关教程

1. 初始侦察

首先访问目标网站，进行全面浏览，识别所有功能点：

• 搜索功能
• 留言板
• 用户注册/登录
• 管理员后台
• 图片查看与评论
• 用户资料页面
• 购物车功能

2. XSS漏洞利用

2.1 反射型XSS

位置：搜索框

Payload：

<script>alert(/xss/)</script>

验证方法：在搜索框中输入上述payload，查看是否触发弹窗。

2.2 存储型XSS

位置：留言板

Payload：

<script>alert(/xss/)</script>

验证方法：

1. 在留言板输入上述payload并提交
2. 每次访问留言板页面时都会触发弹窗

2.3 其他XSS点

位置：图片评论处

Payload：

<script>alert(/xss/)</script>

验证方法：

1. 访问 /pictures/view.php?picid=15
2. 在评论框中输入payload并提交
3. 查看是否触发弹窗

位置：submitname.php

Payload：

/submitname.php?value=%3Cscript%3Ealert(/xss/)%3C/script%3E

3. 后台弱口令漏洞

入口点：Admin后台登录

凭证：

• 用户名：admin
• 密码：admin

验证方法：

1. 访问管理员登录页面
2. 使用上述凭证登录
3. 确认成功进入后台

4. 目录遍历漏洞

位置：管理员后台

Payload：

/admin/index.php?page=../about

验证方法：

1. 登录后台后访问上述URL
2. 确认能够读取系统文件

5. 越权访问漏洞

5.1 用户信息越权

URL：

/users/sample.php?userid=1

验证方法：

1. 注册一个测试账户（如：用户123456，密码123456）
2. 访问上述URL修改userid参数（如userid=2）
3. 确认能够查看其他用户信息

5.2 用户资料越权

URL：

/users/profile.php?userid=11

验证方法：

1. 访问上述URL修改userid参数（如userid=10）
2. 确认能够查看其他用户资料

6. 目录浏览漏洞

可浏览目录：

/users/
/images/
/upload/

验证方法：

1. 直接访问上述URL
2. 确认能够列出目录内容

7. 业务逻辑漏洞

位置：购物车

漏洞描述：SUPERYOU21优惠券可多次重复使用

验证方法：

1. 添加商品到购物车
2. 多次使用同一优惠码SUPERYOU21
3. 确认折扣被多次应用

8. 综合渗透测试步骤

1. 信息收集：浏览网站所有功能点
2. XSS测试：在所有输入点尝试XSS payload
3. 认证测试：尝试默认凭证/admin:admin
4. 授权测试：修改ID参数尝试越权访问
5. 目录遍历：尝试访问敏感目录和文件
6. 业务逻辑：测试优惠券等业务功能
7. 漏洞验证：对每个发现进行验证和记录

9. 防御建议

1. 对所有用户输入进行严格过滤和转义
2. 避免使用默认或弱密码
3. 实施严格的访问控制，检查用户权限
4. 禁用目录浏览功能
5. 对敏感操作实施CSRF保护
6. 业务逻辑应防止优惠券等功能的滥用
7. 定期进行安全审计和渗透测试

通过以上步骤，可以全面评估WackoPicko网站的安全性，并发现其中存在的多种漏洞。