扫码领资料
获网安教程
前言
某天，夜里3点 天刚蒙蒙亮 开局：我有一个朋友~
看不懂发的什么意思，再仔细看看，懂了!
闲言少叙，遇事不决先上bp，启动！
进去之后发现基本没什么实际功能点，像假的一样。注意这里等下要考
先随意跟着自己心情，看到什么点什么，简单看一下功能点以及Httphistory历史包报文【这个习惯非常Nice哦】
这功能点不就自己出来了，简单跟过去看一下
这里是系统的设计逻辑缺陷，和账号权限无关
根据系统功能点，继续跟过去，这里其实已经初见端倪了
注意这里的xxx系统，下文会考。
根据经验来说，某xxx系统模板一眼不像自行单独开发的系统，猜想某开发公司的产品。接口类的先按下不表，
开始准寻系统开发商，毕竟这才是上分的主流方式。
一路跟过去，最后在某个js中发现了蹊跷，可惜没找到原图。然后就该某系统开发商你出场了吧
某开发商系统大概是这个样子
熟悉的登录框， 简单梳理下功能点：
1、账密登录
2、扫码登录
3、忘记密码
4、公众号/小程序
这里简单看了一下逻辑密码绕过无果，这个点放弃。公众号/小程序这个点跟上去，翻了底朝天没有利用价值。
再次殊途同归，又回到了登录框，账密的本质
展现信息收集的时候到了，随便搜一下
太简单了，完全没法展现我信息收集的能力，简单拿下
大概是这个样子的
注意这里的功能点，功能点越多，说明系统设计就愈发复杂。所设计的逻辑处理固然也就多，进而可挖的漏洞也就自然多了起来~
随便点几下，注意看报文数据回显
这里涉及的内容过多，只能重码，各位见谅 ps：账号、个人信息、家庭住址、标准大头照等
继续跟着系统往下走，注意 系统功能点！！！
惊喜自然来~
功能点接管：
这就方便很多了嘛
存在大量敏感泄露
再探
危害还是蛮大的
基本上功能点该走的都摸了一遍，该来到重点了，最喜欢的逻辑
个人中心一共有两个点，个人感觉比较可疑【绑定手机号，以及忘记密码】
发现：手机号可通过逻辑漏洞强行绑定或解绑，忘记密码处存在逻辑漏洞 任意用户密码重置
这样的判断逻辑，不出意外的话就没有以为，任意用户密码重置*1
然后就是无聊的验证的时刻了
记住这里的管理员这一项，要考，跟着这里的推算，或者文章刚开头，我有一个朋友~
根据泄露的账号和敏感信息
推算，统一的超管账号也该来了吧？久等了
打完收工，结束喽~~~
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
原文始发于微信公众号（掌控安全EDU）：事件打到供应链的拉扯
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论