漏洞原理：翻了下文章,发觉之前还写过这玩意,忘了啥时候写的了,老生常谈的东西了,不过既然写了,那就发吧这里引用雷神众测发表文章的一张图由于微信的登录体系如下，即当存在session_key后不会对用户...
09月13日43 views评论修复方案
小程序
小程序任意用户登录
09月13日43 views评论修复方案
小程序
09月13日43 views评论修复方案
小程序
一次非常简单的任意用户登录
在小程序进行登录的时候，进行抓包。 然后发现，登录数据包中只有一个加密code，没法进行篡改。 但是他的返回包却没有类似于session，token等标定用户身份的参数，仅仅只返回了登录的手机号，很明...
08月13日20 views评论任意用户登录
非法活动
记某次漏洞挖掘过程
涉及某些原因内容需修改，所以重新发了一遍。 寻找小程序 在一次测试的过程中，发现某app中存在小程序功能，在app中即可找到不同的小程序 于是想着是不是存在和wx有一样的sessionKey泄露然后导...
08月05日8 views评论任意用户登录
小程序
分享~某安全众测之任意用户登录高危
之前接了一个众测项目，审核的老久了，今天下午刚睡醒收到一个消息，一看，稳啦！估计也修过了，所以就分享一下开局一个登录框，反正是基本能试的什么sxx,sql都试过了，没用，这种系统比较新，发证基本没希望...
07月19日30 views评论任意用户登录
安全众测
某系统接口未授权获取ssotoken造成OA系统任意用户登录
No.1漏洞挖掘过程通过浏览器插件findsomething爬取前端api接口地址，然后放到burp的爆破模块进行遍历接口，找到疑似未授权的接口通过遍历，找到一个接口api/v1/ecology/to...
07月10日26 views评论sec
未授权
【实战】| X小程序任意用户登录
本文由掌控安全学院 - 郑居中 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 在登录小程序时，都会遇到是否一键登录或或授权，方便用户的登录...
06月29日25 views评论任意用户登录
小程序
关于近期小程序测试的常见漏洞演示
本章节将为大家介绍一下小程序常见的漏洞的展示案例，包括支付业务逻辑漏洞、任意用户登录漏洞、水平越权漏洞等高危漏洞。以上小程序测试均获取授权，并且客户均已得到修复(仅供学习，请勿恶意攻击)关于微信小程序...
05月19日109 views评论小程序
手机号码
记一次由sessionkey泄露导致的任意用户登录
0x0声明 由于传播、利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人承担，Cyb3rES3c及文章作者不承担任何责任。如有侵权烦请告知，我们将立即删除相关内容并致歉。请遵...
05月11日24 views评论任意用户登录
小程序
任意用户登录漏洞挖掘思路
扫码领资料获网安教程任意用户登录漏洞以利用漏洞利用难度低、危害高、奖金高已经成为src/众测漏洞挖掘中的香饽饽，本文将分享一下众测/src中任意用户登录漏洞的挖掘思路。文章来源: https://fo...
05月03日82 views评论jwt
漏洞挖掘
常见场景的业务逻辑漏洞以及安全设计
更多全球网络安全资讯尽在邑安全 前言 目前常规漏洞的挖掘越来越困难，在这种情况下，我们可以多去看看业务逻辑方面的漏洞，也是复杂的系统，越有可能出现这方面的问题。本篇文章就来看看常见的一些场景下都有哪些...
05月01日16 views评论短信
账号
H3C SecParh堡垒机任意用户登录漏洞
Nx01 产品简介 H3C SecParh堡垒机是一款专业用于安全管理的堡垒机产品，它通过强大的访问控制功能和安全审计功能，实现对网络服务器的远程安全管理和监控。 Nx02 漏洞描述 H3C SecP...
03月06日95 views评论安全测试
检测工具
通过发现参数值实现任意用户登录
0x01 前言 最近一段时间身体不适，微信多位师傅好友申请以及公众号留言没来得及回复，麻烦师傅们见谅。 我一直认为漏洞挖掘的根本在于信息收集，如：子域名，隐藏的接口，隐藏的参数等等。下面我将分享一次通...
02月25日13 views评论域名
暴力破解
5