记一次事件到供应链的顶级拉扯

前言

某天，夜里3点 天刚蒙蒙亮 开局：我有一个朋友~

看不懂发的什么意思，再仔细看看，懂了!

闲言少叙，遇事不决先上bp，启动！
进去之后发现基本没什么实际功能点，像假的一样。注意这里等下要考

先随意跟着自己心情，看到什么点什么，简单看一下功能点以及Httphistory历史包报文【这个习惯非常Nice哦】

这功能点不就自己出来了，简单跟过去看一下
这里是系统的设计逻辑缺陷，和账号权限无关

根据系统功能点，继续跟过去，这里其实已经初见端倪了

注意这里的xxx系统，下文会考。

根据经验来说，某xxx系统模板一眼不像自行单独开发的系统，猜想某开发公司的产品。接口类的先按下不表，
开始准寻系统开发商，毕竟这才是上分的主流方式。

一路跟过去，最后在某个js中发现了蹊跷，可惜没找到原图。然后就该某系统开发商你出场了吧

某开发商系统大概是这个样子

熟悉的登录框， 简单梳理下功能点：
1、账密登录
2、扫码登录
3、忘记密码
4、公众号/小程序

这里简单看了一下逻辑密码绕过无果，这个点放弃。公众号/小程序这个点跟上去，翻了底朝天没有利用价值。
再次殊途同归，又回到了登录框，账密的本质
展现信息收集的时候到了，随便搜一下

太简单了，完全没法展现我信息收集的能力，简单拿下
大概是这个样子的

注意这里的功能点，功能点越多，说明系统设计就愈发复杂。所设计的逻辑处理固然也就多，进而可挖的漏洞也就自然多了起来~
随便点几下，注意看报文数据回显

这里涉及的内容过多，只能重码，各位见谅 ps：账号、个人信息、家庭住址、标准大头照等

继续跟着系统往下走，注意 系统功能点！！！
惊喜自然来~

功能点接管：

这就方便很多了嘛

存在大量敏感泄露

再探

危害还是蛮大的

基本上功能点该走的都摸了一遍，该来到重点了，最喜欢的逻辑
个人中心一共有两个点，个人感觉比较可疑【绑定手机号，以及忘记密码】
发现：手机号可通过逻辑漏洞强行绑定或解绑，忘记密码处存在逻辑漏洞 任意用户密码重置

这样的判断逻辑，不出意外的话就没有以为，任意用户密码重置*1

然后就是无聊的验证的时刻了

记住这里的管理员这一项，要考，跟着这里的推算，或者文章刚开头，我有一个朋友~
根据泄露的账号和敏感信息
推算，统一的超管账号也该来了吧？久等了

打完收工，结束喽~~~

  申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。

免费领取安全学习资料包！

渗透工具

技术文档、书籍

 

面试题

帮助你在面试中脱颖而出

视频

基础到进阶

环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等

 

应急响应笔记

学习路线