分享~某安全众测之任意用户登录高危

之前接了一个众测项目，审核的老久了，今天下午刚睡醒收到一个消息，一看，稳啦！

估计也修过了，所以就分享一下

开局一个登录框，反正是基本能试的什么sxx,sql都试过了，没用，这种系统比较新，发证基本没希望，好在这个系统能注册，就尝试注册了进去看看，结果注册完也没啥用。然后想了想登陆的时候抓包看看

注册账户后回到登陆界面：

输入原先正确的账号密码后抓包：

这个图发现其实没什么用，就是去校验cookie发送一个token啥的

重点来了，下面这个图：

登录时直接发送一个用户名

放掉第一个这个包，验证码

到这个包修改username=admin

直接把他替换了，放包，你猜怎么着，直接进去了，理论上只要知道用户名可以进随便哪个系统。

日志还是显示的是我通过密码登陆进来的。。。。

所以啊，开发和安全缺一不可。。。

原文始发于微信公众号（leison安全）：分享~某安全众测之任意用户登录高危