首页 > 安全 > 网络安全 >

APP安全之朋友印象一处无效xss爆破导致www后台被登录(100万设备/150万用户/1000万微信用户/核心功能可修改用户密码)

2016-06-14

一个小小的爆破导致的大数据泄露此款APP被好多明星投过资从一个无用的辣鸡xss,直接捣入后台。虽然没写太明白,但是还是比较值得学习的。不是进不去后台,我们就没辙了。爆破是个好思路。例如习题宝那个案例等。

一个小小的爆破导致的大数据泄露

从一个无用的辣鸡xss,直接捣入后台。虽然没写太明白,但是还是比较值得学习的。不是进不去后台,我们就没辙了。爆破是个好思路。

例如习题宝那个案例等。。都是cookie无效导致进入后台的猥琐思路

3.jpg

反馈建议插入xss

location : http://www.pyyx.com/admin/impression/comment?all=1&p=8

toplocation : http://www.pyyx.com/admin/impression/comment?all=1&p=8

cookie : Hm_lvt_2b1927a2b9ad3a599ce6414b15f6536c=1461735662; default_request_id=2fb80d7ae68a86dacdf7fd4490e2c72b

4.jpg

伪装不进去。哎。。爆破也没用。需要电话号码和密码登录才可以

后面扫了下子域名

找到:

http://redmine.pyyx.com

然后爆破得到弱口令

dengwuyu/dengwuyu

刚刚好

搜索框找了下密码

1.jpg

得到账号密码为

13661582834/s123123

然后我想着直接登录APP

然后我就想到了

卧槽

我不是打到了后台吗

http://www.pyyx.com/admin

我登录试试呗?

没想到真对了。。 尼玛,这人品。。。

100万设备

100万设备.jpg

150万用户

150万用户.jpg

1000万微信用户

1000万微信用户.jpg

核心功能

核心功能.jpg

设备使用列表

设备使用列表.jpg

推广APP.jpg

推广APP

11

解决方案:

11

相关文章
最新文章
热点推荐