鼎泰生活网
一些逻辑漏洞案例
创始人
2024-01-28 17:20:36
0次

逻辑漏洞的一些案例

某edu高校逻辑漏洞+弱口令

已提交该校，已修复

注册登陆

在这里插入图片描述

寻找上传点，无果，后缀名不可控

在这里插入图片描述

在这里插入图片描述

找到另一个登陆点，尝试使用之前注册的账户登陆、爆破、均无果

在这里插入图片描述

在测试找回密码处，发送admin用户发现返回管理员邮箱，说明这里这里可能类似模糊查询

在这里插入图片描述

继续测试发现返回了某公司的公司邮箱，该邮箱是该信息系统的供应商

在这里插入图片描述

拉到burp枚举用户名，通过枚举发现一个类似管理员的账户

在这里插入图片描述

通过弱口令登陆

在这里插入图片描述

涉及大量个人信息

在这里插入图片描述

某校鉴权不完善

登陆页面测试，发现验证码在cookie中验证，登陆验证码绕过+1

在这里插入图片描述

密码错误，修改返回包json数据

在这里插入图片描述

放包，url重定向至index页面

在这里插入图片描述

下一个包请求了index页面需要加载的内容，包含部分学生账户数据，在放包提示鉴权失败，返回登陆页面

在这里插入图片描述

提取拿到的学生账户数据，尝试利用前面的登陆验证吗绕过爆破，并尝试修改cookie login用户名

在这里插入图片描述

登陆后仍然是普通学生账户

在这里插入图片描述

枚举管理员用户名，使用爆破出来的弱口令再次登陆管理员账户

在这里插入图片描述

某校平行越权

注册-登陆-提交信息
在这里插入图片描述

爆破参数

在这里插入图片描述

某高校垂直越权

小程序，通过贴吧，qq群，大学墙寻找学生手机号

在这里插入图片描述

通过弱口令登陆

在这里插入图片描述

通过js提取其它账户接口，并禁用js绕过注册管理员账户

在这里插入图片描述
成功登陆

在这里插入图片描述

短信验证码数据包复用

短信验证接口处

在这里插入图片描述

抓包修改手机号重发

在这里插入图片描述

在这里插入图片描述

会话固定

无业务需求，同一账户多次登陆，session未失效

在这里插入图片描述

登陆验证加密绕过

参数带有是否加密

在这里插入图片描述

修改该参数使用明文登陆，利用该漏洞进行明文爆破

在这里插入图片描述

登陆验证码复用

在这里插入图片描述

上一篇：【EC200U】 基站定位

下一篇：项目管理：团队执行力差，管理不善是根源

相关内容

热门资讯

2018小本创业好2017十个... 1、农户住宅设计业我们知道盖房是农民生活中的头等大事，随着社会经济的发展，农户住宅也向实用、美观、个...
环保创业好项目 环保行业有哪些... 酿酒蒸馏/餐饮食堂，全国90%传统锅炉需要改造。千亿市场商机等你来分享。具有竞争性独特产品，市场唯一...
2015年有哪些小本创业好项目... 对于普通大众来说,由于资金的限制,进行小本创业是最恰当的选择.都有什么项目适宜小本创业经营呢?　　第...
创业小本好项目 创业小本好项目... 生活水平越来越高，这对于刚毕业的年轻人来说或许就产生了不小的压力，进入职场的时间不长，工资也没有太高...
有没创业小本好项目有靠谱的小本... 加盟连锁便利店小超市经营也不需要多大的资金和管理经验，而且是一个不错的创业项目，不少创业者都有这个想...
深圳小本创业好项目 深圳小本创... 　现在国家提倡个人创业，下面就是小编为您收集整理的深圳小本创业好项目的相关文章，希望可以帮到您，如果...
农村不起眼的商机 农村最缺什么... 创业投资好项目有很多，说到冷门暴利行业，不禁让人想到低成本高回报，坐拥爆发式机会，有大把大把的银子赚...
小本创业项目的选择 小本创业项... 想要创业，首先要寻找机会，什么是好的创业机会？现在创业，特别是小本创业项目，跟风的是一片，倒下的也是...
城乡发展下小本创业项目如何选择... 当下的人们生活中对个性化的一些物品越来越喜欢，尤其是生活中日常值得留念的照片，存的太多了没处保存，时...
零股财经网谈适合小本投资创业项... 全民创业网（）小编今天为大家分享的创业项目为变废为宝，创业也不是一定大资本，小资本的投资一样是一个致...