2024年某平台后台系统存在任意账号密码重置漏洞_月兔后台管理系统漏洞，附物联网嵌入式开发面经

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上物联网嵌入式知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、电子书籍、讲解视频，并且后续会持续更新

如果你需要这些资料，可以戳这里获取

漏洞发现

进入该后台地址，发现有忘记密码入口

点击进入“忘记密码页面”，随手输入admin，显示出了 隐藏的手机号，需要发送验证码才能重置密码。

我的专业性告诉我，这里可能存在任意密码重置漏洞，于是尝试利用。

漏洞利用

点击“发送验证码”按钮，随便输入验证码和密码 ，此时，我并不知道验证码是多少位的，理论上，少于5位都容易被破解。于是我利用BurpSuit抓包，先尝试4位数的验证码，并且爆破。

由于成功失败返回内容长度一样，当时不知道是否爆破成功，等待片刻，输入重置的密码，发现可以登录。

漏洞危害

我很轻松重置了超级管理员的密码，可以看到后台系统的任意公功能，并且可以对数据做任意修改删除。

漏洞评级

高危

收集整理了一份《2024年最新物联网嵌入式全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升的朋友。

如果你需要这些资料，可以戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人

都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！*