用户
搜索
  • TA的每日心情

    昨天 09:05
  • 签到天数: 219 天

    连续签到: 2 天

    [LV.7]常住居民III

    i春秋-核心白帽

    小白白~~

    Rank: 4

    27

    主题

    209

    帖子

    2515

    魔法币
    收听
    0
    粉丝
    0
    注册时间
    2017-7-26
    发表于 2018-1-29 14:20:14 237401
    前段时间偶遇一个网站,发现了逻辑漏洞
    一、任意用户名密码修改

    1、后台登录处有找回密码功能,首先想到的是任意用户名密码修改。

    1

    1


    2、可以选择注册时的手机号码,或者用户名,先随便输一个123,然后发现123有人注册,直接下一步

    2

    2

    3、注册的号码直接显示出来了的,那就直接把获取验证码的包拦截下来

    3

    3


    4、把数据包里面的电话号码直接修改成我的

    4

    4


    5、马上就收到验证码了

    5

    5

    6、直接可以修改密码了,导致任意用户密码修改

    6

    6


    二、修改密码后进入,还有一处越权,修改别人的信息
    1、填上个人的信息后(信息都是乱填的),抓包发现,personid=1012058这个参数,想到了应该可以修改这个数字,达到修改别人的信息

    7

    7



    2、于是我有准备了一个账号来测试,现在admin这个用户名的信息是这样的

    8

    8

    3、退出这个账号,换另一个号,来填写资料抓包

    9

    9


    4、把personid值修改成admin这个用户的值,然后放行这个包,就可以直接修改admin这个用户的信息了。登录到admin去看,果然已经修改了。

    10

    10

    5、这个数值任意修改,修改别人的信息(不知道修改到了谁的)

    12

    12







    评分

    参与人数 2积分 +100 魔法币 +102 收起 理由
    寒天 + 2
    坏蛋 + 100 + 100

    查看全部评分

    小白~~~
    发表于 2018-1-30 10:48:07
    RRACHEL9928 发表于 2018-1-30 10:40
    我是小白 ,请问楼主怎么修改 电话号码呀? 直接F12控制台改变?

    burp抓到的包里面可以直接修改了
    小白~~~
    使用道具 举报 回复
    发表于 2018-2-5 08:57:50
    一条快乐的咸鱼 发表于 2018-2-2 21:26
    楼主有试短信轰炸和任意用户注册么

    短信轰炸是存在的,任意用户注册没试过
    小白~~~
    使用道具 举报 回复
    发表于 2018-1-29 17:30:24
    wangmingfeng05 发表于 2018-1-29 17:23
    学习了,楼主用的是不是burp?

    嗯。。。就是burp~~~
    小白~~~
    使用道具 举报 回复
    我是小白 ,请问楼主怎么修改 电话号码呀? 直接F12控制台改变?
    使用道具 举报 回复
    发表于 2018-1-30 10:16:28

    在大佬面前献丑了
    小白~~~
    使用道具 举报 回复
    为什么后台登录还会有忘记密码的选项。。
    使用道具 举报 回复
    权限控制不严导致的任意用户密码重置
    使用道具 举报 回复
    楼主有试短信轰炸和任意用户注册么
    使用道具 举报 回复
    发表于 2018-1-29 15:49:30
    感谢你的分享,i春秋论坛有你更精彩!
    使用道具 举报 回复
    不错的逻辑漏洞案例分析~~
    使用道具 举报 回复
    学习了。
    使用道具 举报 回复
    发表于 2018-1-29 17:23:06
    学习了,楼主用的是不是burp?
    使用道具 举报 回复
    发表于 2018-1-29 18:49:23
    这是啥网站漏洞百出!
    The quieter you become,the more you are able to hear......
    使用道具 举报 回复
    棒棒的喔……
    使用道具 举报 回复
    发表于 2018-1-30 08:36:47
    不错哦哦
    使用道具 举报 回复
    发表于 2018-1-30 10:14:01
    打码很专业
    使用道具 举报 回复
    发表于 2018-1-30 10:31:09
    竟然还会有这种逻辑错误存在
    使用道具 举报 回复
    发表于 2018-1-30 14:28:53
    这运气……逆天了
    还有这样的站……
    求知若饥,虚心若愚。
    使用道具 举报 回复
    12下一页
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册