一次奇葩的任意用户登录

在火线测试某src时发现一个界面，域名为xxxa.xxx.com,是一个登录界面，发现该界面支持使用手机号登录以及注册功能，测试后发现该网站使用的短信验证码为123456

因此用脚趾头都能想出来的洞就有了。任意用户注册，任意用户登录，虽然没有修改密码功能，（少了一个任意用户修改密码），但是多个企业用户注册（多个企业用户任意注册漏洞）。

于是乎我一溜烟的提交了三个漏洞，在半小时后漏洞便过了审核，但是定级是低危，我有点疑惑，因此去询问工作人员，工作人员的答复是，虽然可以任意用户注册，但是登录不上，我就开始疑惑了，我明明可以登陆上，为什么他登陆不上，于是我申请再进行测试，但是我又惊呆了，企业已经将此修复，验证码变了，我突然感觉有理说不清，感觉死无对证，工作人员也是一再重复说审核没成功登录。那我能怎么办，只能是吃亏了。

过了三天，我感觉心里不是滋味，怎么能高危变低危呢，因此再去看了一下那个站点，惊奇的发现又把验证码改回来了，于是我一顿操作，但是在我登录时也是出现了假登录问题（登录成功后显示登陆成功，但是一点击个人界面就会跳转到xxx.xxx.com让你再次登录），在观察后发现他跳转后的域名是xxx.xxx.com和我之前的域名xxxa.xxx.com少了a

于是我将域名再次改为xxxa.xxx.com再次登录，成功登录，于是我一溜烟的截图保存为文档，对漏洞进行再次扯皮，最终给我补了48分。任意用户注册以及任意企业用户注册给了边缘地位，登录给了边缘高危。但是我看了评分规则刚开始给我评低危时候是按照一般业务评价，最后增加了危害级别，却是把资产从一般资产降级为了边缘资产，因此我又进行了询问，官方说，刚开始不知道是测试环境，现在知道了是测试环境，因此为边缘。哈哈哈我能怎么办，一切解释权都由官方所有。我总不能说:请问你们怎么证明这个是测试环境呢？

大致流程

其实我也不知道这个操作的原理是什么，为什么第一次登录没有成功，第二次却成功了。有知道的师傅希望在查看原文评论区解答一下。

【火线短视频精选】

【相关精选文章】

一个脚本让你的app自动吐出密钥信息

vip业务权限漏洞挖掘入门姿势实战

火线Zone是[火线安全平台]运营的封闭式社区，社区成员必须在[火线安全平台]提交有效漏洞才能申请免费加入,符合要求的白帽子可联系[火线小助手]加入。

我们不希望出现劣币驱逐良币的结果，我们不希望一个技术社区变成一个水区！

欢迎具备分享精神的白帽子加入火线Zone，共建一个有技术氛围的优质社区！