汽车之家漏洞系列-任意用户密码修改 - 网站安全

1.使用汽车之家的[找回密码]功能找回密码；

 

 

 

2.汽车之家的密码找回功能相当强大，支持用户名、手机号、邮箱找回，本人对美女主播甚是中意呀，so；

 

 

 

3.点击提交来到下一步，发现美女绑定了手机号码；

 

 

 

4.点击发送并抓包，美女主播的手机号码被我拿到了：）

 

 

 

5.不过我们这里是为了修改美女主播的手机号码，所以，我将美女的手机号码，改成了我自己的手机号码，结果我真的收到了短信验证码，为了表达我对美女主播的的爱慕密码我改成了[meinv521]；

 

 

 

6.提交完成密码修改，便可直接登录美女主播的帐号；

 

 

 

 

 

 

7.美女主播能够使用后台管理查询神马的；

 

 

 

 

修复方案：

这个很简单

查看更多关于汽车之家漏洞系列-任意用户密码修改 - 网站安全的详细内容...