请选择 进入手机版 | 继续访问电脑版
查看: 1752|回复: 6

海贝vpn重置任意账户密码漏洞

[复制链接]
  • TA的每日心情

    2016-4-7 15:08
  • 签到天数: 1 天

    [LV.1]初来乍到

    发表于 2016-4-7 15:31:08 | 显示全部楼层 |阅读模式
    首先我们要注册一个账户 anhei1 点击找回密码




    他会发送到我的邮箱上我们打开他




    然后我们找一个账户来测试一下 比如haibei吧 毕竟这是海贝vpn。。看看这个用户是否存在呢? 我们随便输入一个密码吧







    看来是存在的

    那我就重置这个用户好了



    密码我就修改成wooyun吧,然后代理上用burp抓包



    将我的用户名anhei1替换成haibei这个用户。。

    然后发送数据包成功了。。

    转载自乌云我发布的其中一个漏洞
    回复

    使用道具 举报

  • TA的每日心情

    2016-4-7 15:08
  • 签到天数: 1 天

    [LV.1]初来乍到

     楼主| 发表于 2016-4-7 15:33:22 | 显示全部楼层
    还可以吧
    回复 支持 反对

    使用道具 举报

  • TA的每日心情

    2016-4-7 15:08
  • 签到天数: 1 天

    [LV.1]初来乍到

     楼主| 发表于 2016-4-7 16:18:13 | 显示全部楼层
    哎。。。。没人看
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    无聊
    2017-9-11 15:40
  • 签到天数: 425 天

    [LV.9]以坛为家II

    发表于 2016-4-7 16:31:28 | 显示全部楼层
    好神奇,楼主给几个vpn给我用用啊
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    奋斗
    2016-4-9 11:04
  • 签到天数: 2 天

    [LV.1]初来乍到

    发表于 2016-4-8 16:55:40 | 显示全部楼层
    我昨晚按照你的方法试了一下,在改包那里和你有点不一样,那个请求包里没有user,是我自己手动加上去的,然后返回是成功的,但是我按自己改的密码登录却显示用户或者密码错误。。。按照相应包的信息应该是成功修改密码了,为什么会这样呢?难道是修复了?
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    无聊
    2019-6-19 19:52
  • 签到天数: 209 天

    [LV.7]常住居民III

    发表于 2016-4-8 22:07:42 | 显示全部楼层
    楼主叼叼叼,,,带我一起渗透玩么
    回复 支持 反对

    使用道具 举报

  • TA的每日心情

    2018-12-20 14:23
  • 签到天数: 84 天

    [LV.6]常住居民II

    发表于 2016-4-10 16:07:26 | 显示全部楼层
    666.辛苦了。学习了
    回复 支持 反对

    使用道具 举报

    您需要登录后才可以回帖 登录 | 注册

    本版积分规则

    快速回复 返回顶部 返回列表