某平台后台系统存在任意账号密码重置漏洞

漏洞发现 进入该后台地址，发现有忘记密码入口 点击进入“忘记密码页面”，随手输入admin，显示出了 隐藏的手机号，需要发送验证码才能重置密码。 我的专业性告诉我，这里可能存在任意密码重置漏洞，于是尝试利用。 漏洞利用 点击“发送验证码”按钮，随便输入验证码和密码 ，此时，我并不知道验证码是多少位的，理论上，少于5位都容易被**。于是我利用BurpSuit抓包，先尝试4位数的验证码，并且**。 由

>>阅读原文<<