51信用卡管家任意用户密码修改 – 网站安全 – 自学

时间: 2020-10-10｜tag： ｜64次围观｜0 条评论

51信用卡管家手机客户端任意用户密码修改漏

打开51信用卡管家手机客户端的找回密码功能
51信用卡管家任意用户密码修改 – 网站安全 – 自学插图
下面是手机短信得到的验证码
51信用卡管家任意用户密码修改 – 网站安全 – 自学插图1

提交后抓包
51信用卡管家任意用户密码修改 – 网站安全 – 自学插图2

提交的包里没有对重复提交作验证，直接爆破

51信用卡管家任意用户密码修改 – 网站安全 – 自学插图3

4位数字验证码，太好爆破了

还可以通过邮箱，用户名等修改

修改后登入别人的账号，可以查看到别人的信用卡信息，所以危害比较大

修复方案：

找回密码时加一个图形验证码或者加个submitToken参数
    上一篇： 腾讯邮箱正文存储行XSS漏洞 - 网站安全 - 自学p

    下一篇： 91某业务站点存在文件包含及修复 - 网站安全 -
本博客所有文章如无特别注明均为原创。
复制或转载请以超链接形式注明转自起风了，原文地址《51信用卡管家任意用户密码修改 – 网站安全 – 自学》
　 　

还没有人抢沙发呢~