大事记时间轴~
  • 社团XSS平台
  • 全国青少年信息技术社团联盟
  • 全国中学生CTF论坛
  • 全国中学生CTF平台

  • 点击这里~阿里云服务器优惠购买!!

    社团群号:456866055
    站长QQ:1135891330

    (原创)Web渗透实例之中国教育部青少年普法网站逻辑漏洞【网站逻辑漏洞】【网站逻辑漏洞挖掘】【网站逻辑漏洞实例】

    此漏洞于2016年12月2号由社团成员挖掘出来,已经第一时间提交到补天,现已修复,发出来仅供学习与讨论,请勿用于非法途径!!!

    漏洞地址:https://user.qspfw.com  用户登陆界面

    具体漏洞地址:    用户密码找回界面:https://user.qspfw.com/page/user/findpwd/forget_pwd.do

    这里可以确认网站有没有这个用户,这个用户也是在其他页面找的,貌似还是个妹子。

    然后这里可以看到注册人的邮箱,抓包修改邮箱
    点击下一步。

    邮箱收到了验证码。

    漏洞点出场了,估计程序员比较懒,只对发送的邮箱和发送邮箱的验证码进行验证,也就是说,这个找回密码的功能 和用户的邮箱没有一毛钱的关系!

    包里的email和vcode 是我的邮箱和我收到的验证码。

    ok 成功绕过,直接重置密码了。

    可以看到用户的个人信息都泄露了  

    随后又实验了几个 都可以的

    相关推荐

    点击这里~阿里云服务器优惠购买!!

    社团群号:456866055
    站长QQ:1135891330

    发表评论

    路人甲
    看不清楚?点图切换

    网友评论(0)