一次水平越權，導致平臺兩萬人被修改密碼

1F 背景 朋友某資訊平臺要上線，簡單的對他賬號認證這一塊做了一下安全測試。 2F repeater暴露出來的若干問題 先找到了Login登錄口，短信驗證碼的請求抓包，然後放到repeater裏面瘋狂的gogogogo 然後就發現自己被短信轟炸的一臉懵逼 （tips：短信轟炸原理  有專門的提供短信接口的服務商，而網站買了服務商的業務。 但在網站的後端邏輯上存在問題，如未對請求頻率進行限制等。就產

>>阅读原文<<