逻辑漏洞渗透与攻防（四）之任意账号注册

最新推荐文章于 2023-11-21 10:38:58 发布
最新推荐文章于 2023-11-21 10:38:58 发布
阅读量855 收藏
点赞数 1
分类专栏： Web漏洞 文章标签： web安全 网络安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_64973687/article/details/128567344
版权
Web漏洞 专栏收录该内容
31 篇文章 12 订阅 ¥9.90 ¥99.00
订阅专栏

目录

任意账号注册

未验证邮箱/手机号

批量注册  

个人信息伪造  

前端验证审核绕过

邮箱/手机号注册激活验证绕过

用户名覆盖

任意账号注册

未验证邮箱/手机号

未验证邮箱/手机号，目前很多应用为了方便用户记录自己的用户名与密码，都可以使用邮箱跟手机号作为登录用户名，因此很多应用在注册的时候就要求用户填写，一般情况下该应用都会发送激活信息，用户在收到激活信息后才能登录。然而有时候开发人员并不去审核邮箱/手机号是否有效，所以可以利用该缺陷，任意注册账号。我们可以通过抓取数据包，不断的将邮箱/手机号加一加一去爆破，这样如果线程够多，很可能能撑爆网站的数据库。

了解本专栏 订阅专栏 解锁全文
怰月
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
漏洞利用与攻防实践
12-01
中国科学院大学研究生选修课程，国科大名师完整讲义。
漏洞攻防：自动化与智能化.pdf
08-08
目录 • 漏洞攻防形势 • 自动化攻防 • 智能化攻防
永无休止的业务逻辑“漏洞”.pdf
08-07
业务逻辑漏洞，它本身不是咱们说的网络层，系统层，代码层，它本身是跟人相关的，它称之为业务设计缺陷。接下来锅涛老师就给大家全方位讲解一下，在我们程序开发过程中，怎么去规避。除了学会如何规避，还将引发你去思考，思考这个漏洞它是怎么让黑客发现的，就是大家经常会说的一句话，如果你不知道漏洞是怎么来的，那你的防护永远是被动。 业务多样化发展 有“利益”的地方就有黑客 也许各位已经对以下漏洞”司空见惯“ 从黑客攻击角度分析未来攻击的主战场 黑客为什么要平衡攻击成本 为何“业务逻辑漏洞”成为黑客的主战场 黑无止境的根源 业务场景中分析业务逻辑”漏洞“ 衍生的“业务逻辑漏洞” 黑客比我们更了解我们的”业务逻辑“ 业务场景之密码重置 0x00(注册)任意用户注册 0x00(注册)遍历用户 0x00(登录)撞库 0x00(登录)手势密码解锁 0x00(登录)身份认证三部曲 0x00(找回密码)任意用户密码重置 0x00(找回密码)客户端验证码 0x01(交易)任意申贷信用额度 0x02(支付)支付密码绕过 0x03任意支付密码修改 应对法则
任意注册漏洞
hackzkaq的博客
11-14 351
本文由掌控安全学院 - 小博 投稿1.未验证邮箱/手机号 情景：应用为了方便用户记录用户名，使用邮箱和手机号作为用户名（因此很多应用在注册的时候就要求用户填写，多数时候都会给用户发送激活信息，激活后才能登录） 缺陷： 1、未审核邮箱/手机号是否有效（及未发送验证信息），从而实现任意注册账号 2、未验证数据库中是否已经存在相同的用户名（导致同一账号，有2个密码，且用户数据产生读取问题）2、不安全验证邮箱/手机号 用户注册邮箱/手机号提交后，会通过发验证码等方法对其真实性进行验证 缺陷： 1、返回的验证码：验
一文教会如何挖掘任意用户登录漏洞
2301_80115097的博客
11-21 683
任意用户登录漏洞以利用漏洞利用难度低、危害高、奖金高已经成为src/众测漏洞挖掘中的香饽饽，本文将分享一下众测/src中任意用户登录漏洞的挖掘思路。
逻辑漏洞----任意账号注册
qq_44418229的博客
07-26 7035
逻辑漏洞--未验证，批量注册，个人信息伪造，前端绕过，用户名覆盖
登录逻辑漏洞整理集合
qq_56426046的博客
02-21 2400
如果忘记你那么容易，那我爱你干嘛！2、不安全验证邮箱/手机号。3、MVC数据对象自动绑定。4、Unicode字符处理。1.未验证邮箱/手机号。1、cookie未鉴权。5.前端验证审核绕过。2、验证码、密码回显。2、cookie鉴权。
漏洞-任意账号注册
zkaqlaoniao的博客
11-14 479
1.未验证邮箱/手机号 情景：应用为了方便用户记录用户名，使用邮箱和手机号作为用户名（因此很多应用在注册的时候就要求用户填写，多数时候都会给用户发送激活信息，激活后才能登录） 缺陷： 1、未审核邮箱/手机号是否有效（及未发送验证信息），从而实现任意注册账号 2、未验证数据库中是否已经存在相同的用户名（导致同一账号，有2个密码，且用户数据产生读取问题）2、不安全验证邮箱/手机号 用户注册邮箱/手机号提交后，会通过发验证码等方法对其真实性进行验证 缺陷： 1、返回的验证码：验证码信息会隐藏在返回包中，或hidd
Web安全——逻辑漏洞浅析
Candour_0的博客
03-16 499
Web安全——逻辑漏洞浅析
2024攻防演练利器之必修高危漏洞合集
最新发布
05-26
随着网络安全的发展和攻防演练工作的推进，红蓝双方的技术水平皆在实践中得到了很大的提升，但是数字化快速发展也导致了企业的影子资产增多，企业很多老旧系统依旧存在历史漏洞，与此同时，在攻防演练期间，往往会...
某公司公众号任意用户注册漏洞利用
李熠专用博客_白帽子一枚，人称低危终结者
09-17 1974
现在大多平台用户注册都采用了手机号注册，通过发送验证码确保手机号的合法性。但是如果处理不当，则可能造成任意手机号注册等漏洞，就比如下面的某公众号。 漏洞利用 漏洞URL: http://wx.xxxx.qjcode.com/app_api/login/register 复现步骤： 进入该公众号，点击个人中心->登录，并切换到注册界面： 点击发送验证码，随便输入验证码，并输入密码，点击确认，用BurpSuit拦截注册接口，爆破注册接口，可使任意手机号注册。 该公众号还存在忘记密码按照同样方式操
逻辑漏洞挖掘——任意账号密码(用户名/前端验证/激活验证/批量注册)
m0_61506558的博客
08-15 872
1、未验证邮箱／手机号未验证邮箱／手机号，目前很多应用为了方便用户记录自己的用户名与密码，都可以使用邮箱跟手机号作为登录用户名，因此很多应用在注册的时候就要求用户填写，一般情况下该应用都会发送激活信息，用户在收到激活信息后才能登录然而有时候开发人员并不去审核邮箱／手机号是否有效，所以可以利用该缺陷，任意注册账号。填写邮箱后，并没有在邮箱发现任何激活信息，且直接把邮箱当作用户登录名使用。.........
渗透测试常见漏洞描述及修复建议
Kak_Sky的博客
07-03 4795
常见漏洞的漏洞描述与修复建议/安全建议
浅析一次任意用户注册漏洞挖掘过程
李熠专用博客_白帽子一枚，人称低危终结者
10-09 2616
漏洞发现 输入手机号，点击发送验证码，发现验证码只有4位数字，我的经验告诉我，此处有一定概率存在任意用户注册漏洞。 漏洞利用 输入手机号，点击发送验证码，再依次输入验证码（此处随便输入，方便抓包）和密码，用BurpSuit抓包，并尝试验证码爆破。 最终成功注册。 漏洞修复 1.验证码设置为6位数。 2.对验证码校验做限制，如输错5次则要求输入图片验证码。 3.对同一个手机号，只允许有限次的错误校验。 ...
任意用户注册&任意用户密码修改
1stPeak's Blog
12-22 3213
1、任意用户注册 漏洞描述： 用户手机获取的验证码只有四位数字，可对其进行爆破，使用任意手机号进行注册并登录 漏洞验证： 2、任意用户密码修改 漏洞描述： 用户手机获取的验证码只有四位数字，可对其进行爆破，可以对任意手机号进行密码修改 漏洞验证： ...
某网站登录页面存在用户手机号信息泄露
李熠专用博客_白帽子一枚，人称低危终结者
10-26 3148
漏洞利用 输入用户名，界面将弹出手机号，看似手机号被隐藏了，但是通过抓取http包，发现后台其实返回了手机号，由此可知，改手机号只在前端做了隐藏处理。 而且该接口没有做任何校验，可以任意调用，于是开启了BurpSuit的爆破征程。 通过该接口可以爆出大量已注册的手机号，导致手机号信息泄露。 漏洞修复 后端不要返回手机号，应同前端一样，隐藏中间四位。 想学习更多网络安全的知识，可以关注公众号“SCLM安全团队”。 ...
任意用户注册漏洞危害
08-24
任意用户注册漏洞可能带来以下危害： 1. 信息泄漏：黑客可以通过利用漏洞，获取到敏感信息，如绝对路径、web服务器版本、源代码、SQL语句等，从而进一步进行攻击。 2. 服务器DOS（拒绝服务）攻击：黑客可以利用漏洞进行批量注册或者使用脚本进行批量注册，从而占用服务器资源，导致服务器无法正常响应，影响网站的正常使用。 3. 安全漏洞扩散：如果黑客成功注册了一个账户，他们可能会使用这个账户来进一步攻击该网站或其他相关系统，从而扩大安全漏洞的影响范围。 为了防止这些危害的发生，建议采取以下措施： 1. 自定义错误页面或归一化错误页面信息提示，以减少敏感信息的泄露。 2. 对网站进行漏洞扫描，及时发现并修复注册漏洞以及其他可能的安全漏洞。 3. 强化验证码的安全性，确保注册过程不容易受到自动化脚本的攻击。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* [常规web渗透测试漏洞描述及修复建议](https://blog.csdn.net/tq6791868/article/details/96188414)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] - *3* [逻辑漏洞----任意账号注册](https://blog.csdn.net/qq_44418229/article/details/125998587)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

怰月

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值