【漏洞复现】某学院教务一体化系统——任意账号密码重置

声明：本文档或演示材料仅供教育和教学目的使用，任何个人或组织使用本文档中的信息进行非法活动，均与本文档的作者或发布者无关。

---

漏洞描述

某学院教务一体化系统存在任意账号密码重置漏洞

漏洞复现

点击忘记密码
填入社工或者暴力破解的学号

随便填入信息，抓包

拦截请求响应

将success的值改为true，然后放包，成功重置密码

百度得到信息，重置密码为身份证后六位

找回密码模块存在漏洞可暴力猜测账号信息

输入任意账号，服务器会进行校验

抓校验的请求包，暴力猜测

如果账号存在，就会返回true

登入界面也可以暴力破解

抓包

这里用Base64进行加密在线工具：https://uutool.cn/base64-decode/

解码后：略……

构造字典

暴力破解

总结：使用暴力猜测或者社工可以得到账号（学号），然后直接重置账号密码，再去前端暴力破解密码，重置后的密码为身份证后六位，存在很大的暴力破解可能，该平台是教务一体化系统，可以进行学生请假，奖学金申请，老师评价等操作。

---

忘情不如情忘，绝念不如念绝。