专栏名称: 编码安全研究
专注代码安全研究php java python 等
今天看啥  ›  专栏  ›  编码安全研究

实战|快来!又一次对某站点详细的渗透测试

编码安全研究  · 公众号  ·  · 2024-07-26 10:06

文章预览

最近在尝试冲刺排名,恰好本次渗透中的东西可以拿来做一些分享,希望可以给大家提供一些思路,本文所涉及的漏洞均已提交至src平台 正文 任意用户注册 像这种注册页面没有验证码的,果断抓包尝试无限绑定任意电话号码和邮箱注册 验证之后成功注册并登录两个账户,果然可以批量注册,登陆,送上手的低危成功吃到 任意用户密码重置 登陆账户,进入修改资料界面,仔细观察,修改密码居然不用填旧密码? 果断抓包,这里的逻辑是用自己的用户名找回密码,在最后修改密码的时候抓包,改成其他用户名 验证一下,成功更改另一用户密码登录,ok,又是一个低危+ (其实可以看到这里第一个和第二个漏洞都不难,因为是业务逻辑类型,这类型的漏洞其实只要我们细心,就一定能挖到的) 水平越权+存储xss组合拳 上面在找到任意密码重置后,便可 ………………………………

原文地址:访问原文地址
快照地址: 访问文章快照
总结与预览地址:访问总结与预览