大家好~
最近在玩Burp学院里的一些题目~
其中有一题的解payload看不太懂
想请教大家~
题目网址:
https://portswigger.net/web-security/ssrf/lab-ssrf-with-whitelist-filter
里头有个有SSRF漏洞的地方，
他会过滤参数stockApi值网址不为stock.weliketoshop.net的
他的payload如下:
http://localhost:80%[email protected]/admin/delete?username=carlos
其中
%2523为'#'字号的Double Encoding
所以没有过滤字符的话payload会像是:
http://localhost:80#@stock.weliketoshop.net/admin/delete?username=carlos
看不懂的地方是@前面的部分
@前面代表userinfo (localhost:80#)
所以请问这个是使用者localhost，密码为80?
怎么看都不太像，localhost指的是网址吧，80就是HTTP的port
还有#这个出现在这里是什么意思....
照理说不是frame，应该是资源相关的附在网址的最后面吗?
小的程度很差，还请各位大大解释一下XD