2022/3/23 逻辑越权-找回机制-接口安全

小迪

https://www.bilibili.com/video/BV1JZ4y1c7ro?p=34&spm_id_from=pageDriver

找回重置机制

客户端回显，Response状态值，验证码爆破，找回流程绕过。

接口调用乱用

短线轰炸等

案例-墨者

没币了，不做了。

https://www.mozhe.cn/bug/detail/K2sxTTVYaWNncUE1cTdyNXIyTklHdz09bW96aGUmozhe

首先使用自己的号码正确接收验证码，然后抓包修改手机号提交。

客户端回显

正确验证码回显

错误验证码回显3

burp修改服务器返回

案例某应用

错误验证码回显

抓正确的回显
抓回复

修改为正确的恢复

验证码爆破

涉及资源
中国源码下载站：http://downcode.com/downcode/j_16621.shtml

两套源码：https://pan.baidu.com/s/1P73QFmEhY6f350CvmnOJNg 提取码：xiao

https://pan.baidu.com/s/1N963jFjTefNc6Gnso-RHmw 提取码：