分享两个常见的业务逻辑漏洞

来源：互联网发布：abs资产证券化知乎编辑：程序博客网时间：2024/06/14 13:28

0x00前言
最近在对某网站做渗透测试的过程中发现了两个比较典型的逻辑漏洞，一个是通过邮件，一个是借助短信

0x01
注册页面当填写账号或密码存在错误的时候没有进行混淆处理，根据了解该网站大部分注册用户账号为qq邮箱
如此便产生了用户的遍历（工具自动提交，根据返回包长度进行判定）
来到用户密码找回页面，提交已注册的邮箱账号即可向相对邮箱发布重置密码邮件，并且没做时间限制和次数限制
于是，，，该厂商向某用户发送大量垃圾邮件，同时可做CSRF用

0x02
在该注册页面填写手机号接受验证码的位置，提交抓包，可见次数的手机号未进行加密。
使用bs工具自动提交电话本（内含上千电话），所有的验证码都发送成功
没有对同IP发送次数和时间间隔进行限制
于是，，，，存的短信费用瞬间花光

0x03
不说了我去交钱去 5555555555555！

0 0