1.进入项目界面

图1 项目主界面

2.访问任意不存在的目录路径报错，提示存在demo接口

图2 提示存在接口

3.访问/demo/，提示有一个name参数

图3 发现隐藏参数

4.对接口参数进行fuzz（实战思路），vulfocus已经给出了/demo?field=demo.name

先下载项目arjun

安装：pip install arjun

或者下载github项目，使用python安装

python setup.py install

图4 cmd进入工具路径

图5 安装arjun

图6 安装成功

然后我们输入单个url进行扫描

arjun -u http://123.58.224.8:59122/demo/

图7 单url扫描

5.对接口进行SQL注入测试（单引号，双引号等），发现双引号报错，页面直接返回了flag

图8 正常界面

图9 页面返回flag

图10 flag找寻

图11 提交

图12 通过