【网络安全】分析JS文件实现账户接管

未经许可,不得转载。

文章目录

正文

网站使用的是简单的OTP(一次性密码)验证机制,通过用户注册时提供的电子邮件发送邮箱验证码。在功能有限的情况下,我选择去分析网站加载的JavaScript文件。

我发现了一个名为 saveJobseekerPasswordInCache 的函数:

img

img

这个函数虽然没有在当前的注册或登录流程中使用,但仍然可以被调用。所以我推测这个函数可能是过去的登录方式或未完成的开发功能,因为它好像试图在缓存中保存密码。

我将该接口构造请求后,结果没有变化:

curl -X POST https://example.com/ajax/jobseeker/popups/accountCreationFlow/ajax/saveJobseekerPasswordInCache.php \
     -d "typeProces
  • 1
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

秋说

感谢打赏,祝你平安喜乐。

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值