【好靶场】WebSocket也可以有越权

websocket常出现在网站上需要实时交互的常见,比如在线聊天室、在线客服这种

我们同样可以用burp抓包改包

在开始前,我们需要在burp设置抓websocket的数据包

需要把前两项打勾,如果不想抓websocket的包后期就可以取消这两个勾

我们打开题目,然后进行正常的交互

在交互的过程中,我们可以在【Proxy】->【websocket history】里面看到websocket的数据包

其中【to server】是我们发给服务端的消息

在前面的图可以看到【参数:2】,那么越权的话我们就尝试修改这个参数看看会有什么效果

同样,我们把这个数据包放到reperter,并修改参数为1

可以看到服务器返回了flag信息

相关推荐
马立杰8 小时前
IE241216_准入认证技术
安全·网络安全·交换安全
白猫不黑9 小时前
AI时代如何利用AI学好网络安全
人工智能·安全·web安全·计算机·网络安全·信息安全
佳&弥10 小时前
后渗透痕迹清理
服务器·windows·web安全·网络安全
2501_9159214310 小时前
抓包工具对比:Charles、TraceEagle、Wireshark、Fiddler 与 Proxyman
网络协议·计算机网络·网络安全·ios·adb·https·udp
Shi-p11 小时前
实战|分布式诱捕威胁情报 TrapCloud,无需本地部署,实现公网攻击源主动封堵
网络安全·威胁分析
Johny_Zhao1 天前
网络安全等级保护测评实施方案
linux·网络·人工智能·网络安全·信息安全·云计算·等保测评·系统运维·itsm
菩提小狗1 天前
每日安全情报报告 · 2026-09-06
网络安全·漏洞·cve·安全情报·每日安全
HackTwoHub1 天前
BurpSuite2026.8专业(稳定版)下载Windows/Linux/Mac支持Java21以上(新增Burp AT智能体)
linux·运维·服务器·安全·macos·网络安全·自动化
Chockmans1 天前
SRC---信息收集(灯塔自动化推荐)
网络安全
数据知道1 天前
YARA 规则编写实战——从样本到检测规则
网络·安全·网络安全