一一中文网

手机浏览器扫描二维码访问

第22章 解码器入手1（第2页）

放弃。

第二个尝试：扫描服务器开放端口。

发现一个用于内部文件传输的FTP端口，但需要双重认证。

放弃。

第三个尝试：追踪系统更新日志。

发现上周三有一次紧急补丁更新，原因是“第三方物流接口存在安全风险”

。

纪玄的眼睛亮了一下。

他调出那个接口的文档——那是“江城迅达”

与几家大型电商平台的对接接口，用于实时同步货运状态。

文档里提到，接口采用OAuth2.0协议进行身份验证，但为了兼容旧版客户端，保留了BasicAuth的备用验证方式。

BasicAuth——用户名和密码明文传输。

纪玄开始搜索与这个接口相关的任何公开信息。

在GitHub上一个开源物流管理系统的代码库里，他找到了类似的实现示例。

示例代码里包含一个测试用的用户名和密码：test_usertest_pass。

他尝试用这个组合去连接“江城迅达”

的接口。

连接失败。

但系统返回的错误信息暴露了关键细节：“用户不存在”

。

这说明系统确实在处理BasicAuth请求，只是用户名不对。

纪玄开始构造字典攻击。

他收集了“江城迅达”

公司可能使用的用户名格式：员工工号、姓名拼音、邮箱前缀。

然后结合常见弱密码组合，编写了一个自动化的爆破脚本。

脚本开始运行，屏幕右下角弹出一个小窗口，显示着尝试次数和进度。

窗外的雨声渐渐小了，变成细密的淅沥声。

档案室里的空气有些闷，混杂着纸张、灰尘和旧式空调散发出的淡淡霉味。

纪玄起身，走到窗边，推开一条缝隙。

冷湿的空气涌进来，带着城市夜晚特有的气息——远处车辆的引擎声、潮湿的柏油路面味道、还有不知从哪里飘来的食物香气。

他看了眼时间：晚上九点四十七分。

回到电脑前，爆破脚本已经运行了三千多次尝试，还没有结果。

纪玄没有着急，他切换到一个新的标签页，开始研究“江城迅达”

的官方网站。