一次奇葩的任意用户登录

  • A+
所属分类:安全文章

01



在火线测试某src时发现一个界面,域名为xxxa.xxx.com,是一个登录界面,发现该界面支持使用手机号登录以及注册功能,测试后发现该网站使用的短信验证码为123456


02



因此用脚趾头都能想出来的洞就有了。任意用户注册,任意用户登录,虽然没有修改密码功能,(少了一个任意用户修改密码),但是多个企业用户注册(多个企业用户任意注册漏洞)。


03



于是乎我一溜烟的提交了三个漏洞,在半小时后漏洞便过了审核,但是定级是低危,我有点疑惑,因此去询问工作人员,工作人员的答复是,虽然可以任意用户注册,但是登录不上,我就开始疑惑了,我明明可以登陆上,为什么他登陆不上,于是我申请再进行测试,但是我又惊呆了,企业已经将此修复,验证码变了,我突然感觉有理说不清,感觉死无对证,工作人员也是一再重复说审核没成功登录。那我能怎么办,只能是吃亏了。


04



过了三天,我感觉心里不是滋味,怎么能高危变低危呢,因此再去看了一下那个站点,惊奇的发现又把验证码改回来了,于是我一顿操作,但是在我登录时也是出现了假登录问题(登录成功后显示登陆成功,但是一点击个人界面就会跳转到xxx.xxx.com让你再次登录),在观察后发现他跳转后的域名是xxx.xxx.com和我之前的域名xxxa.xxx.com少了a


于是我将域名再次改为xxxa.xxx.com再次登录,成功登录,于是我一溜烟的截图保存为文档,对漏洞进行再次扯皮,最终给我补了48分。任意用户注册以及任意企业用户注册给了边缘地位,登录给了边缘高危。但是我看了评分规则刚开始给我评低危时候是按照一般业务评价,最后增加了危害级别,却是把资产从一般资产降级为了边缘资产,因此我又进行了询问,官方说,刚开始不知道是测试环境,现在知道了是测试环境,因此为边缘。哈哈哈我能怎么办,一切解释权都由官方所有。我总不能说:请问你们怎么证明这个是测试环境呢?


05



大致流程


一次奇葩的任意用户登录


06



其实我也不知道这个操作的原理是什么,为什么第一次登录没有成功,第二次却成功了。有知道的师傅希望在查看原文评论区解答一下。


一次奇葩的任意用户登录

【火线短视频精选】



【周度激励】2021.8.2 ~ 2021.8.8公告


一次奇葩的任意用户登录



【相关精选文章】


一个脚本让你的app自动吐出密钥信息

vip业务权限漏洞挖掘入门姿势实战


火线Zone是[火线安全平台]运营的封闭式社区,社区成员必须在[火线安全平台]提交有效漏洞才能申请免费加入,符合要求的白帽子可联系[火线小助手]加入。


我们不希望出现劣币驱逐良币的结果,我们不希望一个技术社区变成一个水区!


欢迎具备分享精神的白帽子加入火线Zone,共建一个有技术氛围的优质社区!


一次奇葩的任意用户登录

一次奇葩的任意用户登录

本文始发于微信公众号(火线Zone):一次奇葩的任意用户登录

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: