记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

Q房网设计缺陷控制任意经纪人帐号

2015-08-09 13:45

code 区域
http://my.qfang.com/register/toforgetPsd



老方法

重置密码功能,可以重置任意经纪人密码

1.先找个吧,这个在首页,应该很多房,就她了,手机:13622330234 (其实我觉得右上角那个更漂亮,不过人不要只看外表啦 )

qfang0.png





2.先向自己手机发送验证,正确验证短信后到设置密码页面。

qfang2.png



3.新开窗口,向她的手机发送短信

qfang1.png



4.回到原来的窗口直接修改密码,这时把她的密码修改了。

漏洞证明:

5.登录

qfang3.png

qfang4.png

修复方案:

最后一步时,判断 手机是否通过了短信验证

知识来源: www.wooyun.org/bugs/wooyun-2015-0130425

阅读:66472 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“Q房网设计缺陷控制任意经纪人帐号”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云