有意思的任意用户密码重置 admin 138858文章 114评论 2024年7月8日13:11:04评论9 views字数 377阅读1分15秒阅读模式 声明:请勿利用文章内的相关技术从事非法测试,如因此产生的一切不良后果与文章作者和本公众号无关。 最近一段时间客户开展了一次众测项目,要求对他们提供的资产来一次全面的测试,好家伙,又要开始肛了。在测试中,发现了如下系统,其他有一个任意用户密码重置挺有意义的,话不多说,直接开始正文。 拿到系统,打开如下。 输入手机号测试,如下,会校验手机号是否存在。 遍历手机号,发现几个系统存在的手机号,如下,直接进入手势密码环节。 尝试了几下,无果。回到前面的注册功能,直接注册一个功能进入系统看看。 注册成功后,发现会直接进入设置手势密码环节让设置手势密码,如下。 好家伙,感觉不出意外应该会有惊喜,查看报文,发现如下接口。 修改手机号为前面遍历出来的用户手机号,如下,响应成功修改。 使用修改后的手势密码成功登录系统,如下。 原文始发于微信公众号(安全无界):有意思的任意用户密码重置 免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。 点赞 http://cn-sec.com/archives/2930484.html 复制链接 复制链接 左青龙 微信扫一扫 右白虎 微信扫一扫
评论