Question

二次漏洞有点像存储型 XSS 的味道，就算 payload 插进去了，能不能利用还得看页面输出有没有过滤，由于这一类漏洞挖掘起来逻辑会稍微复杂一点，针对性挖掘的人比较少，所以目前这方面还属于重灾区，大多数应用只要肯仔细去通读研究全文代码，理解业务逻辑，还是能挖出来部分二次漏洞的。既然二次漏洞现在这么严重，那么我们来看看什么是二次漏洞以及怎样挖掘。