wo-27s管理员账户和密码_某数据监测与分析系统可被撞库出登录密码

点击蓝字 · 关注我们

漏洞标题

某数据监测与分析系统可被撞库出登录密码

漏洞类型

逻辑漏洞

漏洞等级

中危

漏洞地址

http://xx.xx.xx.xx:8000/User/UpdatePWD

漏洞详情

0x01

登录页面没有验证码，存在可被撞库的风险http://xx.xx.xx.xx:8000http://xx.xx.xx.xx:8003

然后随便在输入框输入admin admin

或者是直接访问链接：http://xx.xx.xx.xx:8000/admin/?/login

会跳转到系统中

此时可以判断系统管理员账户为admin

0x02

然后抓包，点击下面的修改密码功能，可以抓包：

输入密码，进行密码修改操作，抓包：

http://xx.xx.xx.xx:8000/User/UpdatePWD

POST数据：pwd=123456&pwd1=123456&pwd2=123456

这里可以枚举原密码，没有次数和上限限制，因为是线上环境，而且一旦爆破成功就是修改了系统密码，所以这里没有做更多的爆破操作。请自行验证。

0x03

同样的，知道了这里的账户为admin，则登录处也同样的可以进行爆破：

漏洞危害

1、可以枚举登录处admin账户的密码，可以直接登录系统。

2、可有通过修改密码操作直接修改管理员admin账户的密码，这样管理员也登录不上了。

建议措施

1、添加验证码，在登录处添加验证码，限制用户的登录上限。

2、做好权限的控制，不允许不登录的用户直接访问系统内部功能。

PS：本文仅用于技术讨论与分析，严禁用于任何非法用途，违者后果自负。

EDI安全

扫二维码｜关注我们

一个专注渗透实战经验分享的公众号

wo-27s管理员账户和密码_某数据监测与分析系统可被撞库出登录密码相关推荐

mysql暴力撞库与弱密码检测
暴力撞库与弱密码检测最近在生产数据库上碰到了一个问题,觉得挺有意思,总结出来和大家分享下. 关于暴力撞库和弱密码检测. 相信使用数据库的大家应该都不陌生,暴力撞库,简单通俗的讲通过一堆生成的密码,然 ...
公司计算机系统忘记用户密码怎么办,win10系统重置修改已经忘记的登录密码的解决步骤...
win10系统使用久了,好多网友反馈说关于对win10系统重置修改已经忘记的登录密码设置的方法,在使用win10系统的过程中经常不知道如何去对win10系统重置修改已经忘记的登录密码进行设置,有什么好 ...
让数据不再“裸奔”，隐私计算“四小龙”亮出通关密码
文|魏启扬来源|智能相对论(aixdlun) 当数据成为重要的生产要素,数据隐私保护与数据使用应该如何权衡? 今年4月,<中共中央.国务院关于构建更加完善的要素市场化配置体制机制的意见> ...
dede修改mysql用户名密码_老李教你快速学会织梦dedecm后台修改帐号密码教程
原创老李教你快速学会织梦dedecms后台管理员密码重置和修改教程. 织梦dedecms建站系统在目前还是算很流行的门户网站建站系统,功能强大易于操作,今天老李就发生了一件很丢脸的事,就是忘记了后台 ...
hmailserver mysql密码_第二步：点晴MIS系统Email模块hMailServer数据库连接配置指引
点击:windows系统->开始->所有程序->hmailserver->hMailServer Database Setup,在弹出的对话框中输入默认管理密码"cl ...
python源码剖析豆瓣_在数据分析师的分析中豆瓣的书那些值得读
最近总是有人问我有什么书好推荐看看,特烦.但是看到那么多人问,看来挺多人有这个需求,便想了一下,如何通过数据分析找到值得看的书.通过爬取某个标签例如产品,运营获取对应已经打了标签的书,获取书对应的评分 ...
mysql降低高水位_[数据库]数据高水位分析
[数据库]数据高水位分析 0 2014-10-16 11:02:12 2014-10-04 BaoXinjian 一.摘要 PLSQL_性能优化系列14_Oracle High Water Level ...
清掉数据_大数据超详尽分析，带你看懂打野江湖
你好,我是苏御这篇文章结合了opgg(对应韩服数据).ugg(对应欧美数据和出装顺序数据)和lol101(对应国服大数据),再加上我个人在高端局的游戏体验,得出了一份全面的打野解析耐心读完,相信一 ...
大数据之-入门_大数据部门业务流程分析---大数据之hadoop工作笔记0006
回流用户数,就是二次消费,三次消费的..这样的. 可以看到上面就是大数据部门的业务流程就是上面这样了.产品人员,提需求,数据部门做数据,然后再进行数据可视化展示. 技术交流QQ群[JAVA,C++, ...

wo-27s管理员账户和密码_某数据监测与分析系统可被撞库出登录密码

wo-27s管理员账户和密码_某数据监测与分析系统可被撞库出登录密码相关推荐

最新文章

热门文章