记一次通过逻辑漏洞组合进入某公司股份管理后台的案例

用到的工具：1、burp suite；2、fiddler
一、打开公司官网
 

二、进入XX管理系统
 

漏洞一：信息泄露
1、通过前端接口拼接发现信息泄露，包括姓名和手机号等信息
 

漏洞二：密码重置
1、在忘记密码处根据上述信息泄露收集的手机号，对其中一个手机号进行密码修改，获取手机验证码后，任意输入手机验证码，进行抓包
 

2、修改响应包参数success为true

3、放包后跳至重置密码页面
 

4、输入密码abxxxx34，继续将响应包参数success修改为true
 

5、放包后显示密码修改成功
 

三、进入某员工xx管理系统后台
1、回到登录页面，输入新改好的密码进行登录
 

2、成功登录到账号为139xxxxxx12的员工后台
 

3、可提现该账户的余额

声明：笔者初衷用于分享与普及网络安全知识，若读者因此作出任何危害网络安全行为后果自负。

来源:https://www.freebuf.com/articles/web/382770.html

免费领取安全学习资料包！

渗透工具

技术文档、书籍

 

面试题

帮助你在面试中脱颖而出

视频

基础到进阶

环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等

 

应急响应笔记

学习路线