入侵菠菜後臺，通過資料揭示菠菜網站的暴利黑心之處！
最近飯局上碰到一個原來心儀的妹子，雖然已經4、5年沒見面了，妹子見到我還是分外親熱，不僅主動挨著我坐著，居然還邀請我一起玩遊戲，心中竊喜不已，哥們王者剛上了王者星耀，先好好炫一下技術，然後……
妹子就給我發來了一個網站
開啟一看，尼瑪什麼鬼，妹子居然也玩彩票了(為了避免廣告嫌疑就不截圖整個網站了)這種私彩一般都很弱啊，要是能把他拿下來，豈不是可以讓妹子好好崇拜一下，別人都說妹子喜歡一個男人是從崇拜他開始的……嗯……
言歸正傳，訪問目標主站
一、掃描注入點
首先我拿出了明小子Domain啊D注入工具，掃描是否網站有SQL%E6%B3%A8%E5%85%A5/">SQL注入漏洞，如果有這個漏洞就可以直接獲取網站後臺賬號密碼了，掃描結果出來了，很抱歉，沒有這個漏洞，那我們繼續
二、爆破後臺
用軟體掃描下網站後臺，選擇“管理入口監測”然後掃描出網站的後臺，然後使用工具暴力破解，看下是否可以爆出弱口令的密碼，我們可以使用字典和軟體來爆破，這個比較耗時間，就掛著慢慢破吧
三、XSS跨站指令碼攻擊
後臺爆破比較耗時間，在掛著破解的時候我在找有沒有訊息可以提交的入口，在存款的地方有看到可以提交資訊的視窗，我們就在使用者暱稱這個對話方塊輸入XSS跨站程式碼<script>alert('xx')</script>就會看到一個彈窗，這時就能說明該網站存在xss漏洞，然後我們把程式碼換成xss平臺裡的惡意程式碼就能實現盜取管理員cookie了，原理如果有這個XSS漏洞就是隻要後臺有人登陸，在輸入賬號密碼的時候如果有XSS漏洞就會反射回來把COOKIE傳送到我的郵箱，xss概括為一句話，就是輸入輸出在處理時沒有進行轉義過濾，接下來我們提交看看。
運氣還不錯，過了十幾分鍾收到資訊了，接下來我們在瀏覽器改COOKIE進後臺
話題繼續，
後面頁面是這樣的
稍微看了下網站才做一個多月流水也挺多的，使用者輸得也很多，至少輸的佔七八成以上，實在是暴利，十賭九輸，大家還是不要去碰這個東西。
其實方法還有很多，伺服器提權，資料庫爆破，分析原始碼找0day如果有時間可以慢慢摸索更多方法，以後有新的文章在部落格裡面跟大家繼續分享，有任何不懂的可以一起交流學習，交個朋友，朋友多了路好走。