任意密码修改
前言
這是做項目時其他人提交的,不難,簡單記錄一下,畢竟是公網的,測試前提是需要知道賬戶密碼,是其修改密碼的界面出現邏輯漏洞導致的
1、比如,我們正常訪問一個頁面
2、正常登錄
此時,我們已經正常登錄,那么問題出在哪里呢,問題就在這里的修改密碼
3、抓包,點擊修改密碼
邏輯問題就在這里,我們只要退出用戶,然后直接在登陸界面抓包,修改內容即可未經登錄修改賬戶密碼
4、通過登陸界面未授權修改賬戶密碼
將紅框中的內容修改如下,即可繞過,成功修改admin用戶密碼為123456
總結
- 上一篇: 信用证条款
- 下一篇: iPhone 为什么要分成国行和港版,它