小程序逻辑漏洞实战记录

点击蓝字，关注我们

一次手势密码无限验证次数

某次测试一个金融小程序，找了一圈一无所获。后来盯上了“手势密码”

正常只可以输入5次

输入错误的手势密码，只剩最后1次的时候重新进入小程序，发现重新记录输入次数，那么就可以无限尝试，直到登录成功

一次小程序任意支付密码修改

在个人信息——账户安全——支付密码修改处进行抓包

将手机号更改为我们自己的手机号接收验证码

填写验证码后进行下一步

修改成功

免责声明：

本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透测试都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。