某平臺後臺系統存在任意賬號密碼重置漏洞

漏洞發現 進入該後臺地址，發現有忘記密碼入口 點擊進入「忘記密碼頁面」，隨手輸入admin，顯示出了 隱藏的手機號，需要發送驗證碼才能重置密碼。 我的專業性告訴我，這裏可能存在任意密碼重置漏洞，於是嘗試利用。 漏洞利用 點擊「發送驗證碼」按鈕，隨便輸入驗證碼和密碼 ，此時，我並不知道驗證碼是多少位的，理論上，少於5位都容易被**。於是我利用BurpSuit抓包，先嚐試4位數的驗證碼，並且**。 由

>>阅读原文<<