C4r1st 发表于 2014-9-25 10:15:53

天天团购最新版任意用户密码修改

漏洞作者： 路人甲

官方刚刚发布的最新版，

http://tg.tttuangou.net/changelog.txt

以官方Demo为例，

1.

http://tg.tttuangou.net/?mod=account&code=register

可以看到，victim帐号已存在

来，注册一个名为victim\ (一个反斜线，不是两个，下同)的帐号

注册成功后，进入账户设置，http://tg.tttuangou.net/?mod=me&code=setting

利用F12将victim\修改为victim，填入密码，提交

再利用victim:密码即可登录

clocks 发表于 2014-9-25 12:43:40

这个漏洞好“黑”

契约 发表于 2014-9-25 17:26:11

原来这个还是web应用程序 ，我刚开始以为只是一个大站 - -

h4ck.alone 发表于 2014-9-26 20:02:01

:) 学习了。。

Goce 发表于 2014-9-27 06:45:10

支持支持下

xbding 发表于 2014-9-29 22:31:47

现在改不了了嘛，，加了fromhash了？

lxzhtxh13 发表于 2014-9-30 09:37:53

:)这个是不是可以用在好多站点里 啊
页: [1]
查看完整版本: 天天团购最新版任意用户密码修改