梭哈之自动化渗透脚本

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

前面简单聊过自己抽空写了一个自动化脚本想着在hackerone中捡捡漏洞()，结果全是心酸，真的是还不如不发现，至少不会有期待。

最近刚好项目较多，就抽空又简单的改造了一下脚本，主要就是应对这个项目，简单的过了一下项目里的测试目标，基本都是一些登录系统，又不给账号密码，那还不如直接用脚本来跑，前面简单提过我写的这个脚本浓缩了一些基本的探测测试。

现在就缺一个登录接口的安全测试，就这一块花了不少篇幅去做，一些常规的form表单的倒是很好提取API和入参进行爆破和注入测试，但是大部分并非form表单，难顶～废话不多说直接上正文。

运行效果

测试多种登录场景目前都OK。最简单的form类型，直接就可以构造接口进行安全测试。

非form类型，通过hook获取，如下。

带验证码的登录，如下。

带下拉框的登录，如下。

实现思路

自动登录的大体思路如下（核心目的就是尽可能的覆盖各种登录场景，然后成功获取登录接口并对登录接口进行安全测试）。

存在form表单：直接从form中提取API和入参构造登录请求。不存在的情况：打开页面  └─ 注入请求嗅探脚本（hook fetch / XHR）  └─ 监听 Playwright 原生 network 事件填充账号密码（fill_login_fields）  └─ 定位含密码框的 frame  └─ 猜用户名框（排除验证码/下拉框等干扰项）  └─ 用模拟按键方式输入，触发前端框架的响应式更新处理下拉框（select_default_dropdown）  └─ 若下拉联动清空了账号密码 → 二次强制回填处理验证码（has_captcha_input → solve_captcha → fill_captcha_if_present）  └─ OCR 识别，识别结果不可信则转人工输入点击登录（click_login）  └─ 找不到按钮则强制 form.requestSubmit()  └─ 点击后账号被清空 → 补填一次再点一次等待网络请求  └─ 合并「Playwright 原生事件」+「JS hook 事件」  └─ 按打分规则挑出最像登录请求的一条  └─ 标准化成 {url, method, data, param_type}