联想某站点任意用户密码+资料修改(权限限制不严-自学php网

来源：自学PHP网时间：2015-04-17 10:16 作者：阅读:次

[导读] 存在问题的站点：http: legc lenovo com 一任意用户密码修改1 注册一个帐号，点击来进行用户密码修改；2 抓包得到如下数据，发现未进行过多校验，通过修改用户id参数即可修改不用用户密...

存在问题的站点：http://legc.lenovo.com/

一.任意用户密码修改

1.注册一个帐号，点击来进行用户密码修改；

2.抓包得到如下数据，发现未进行过多校验，通过修改用户id参数即可修改不用用户密码；

3.但是我们发现只能通过用户的注册邮箱才能登录系统，邮箱这个还真不好办呀，但是我发现某个抠脚大汉的用户名，信息量略丰富呀；

4.我猜的没错，后面那串数字果然是这个大汉的秋秋邮箱，有图有真相；

5.于是呼，我成功登录了大汉的帐号；

二.任意用户资料修改

1.这个嘛，原理同上，不能不想演示，但是我发现一个自称是女汉子的妹纸，so；

2.使用自己的帐号填好我想修改的信息；

3.点击提交并抓包得到如下数据；

4.将自己的id信息改成妹纸的id提交，so look；

更多文章推荐