58同城逻辑判断失误致任意信息删除漏洞 - 网站安

昨天rp爆发，在58上呆了3分钟，不小心发现一个 漏洞 ，，，， 信息删除两种方式，一种为账号登陆，一种为手机。但是手机删除时，验证存在逻辑判断错误，导致攻击者可删除任意已经发布的信息。   详细说明： 手机删除信息时，判断逻辑如下： 1，输入要删除的手机号，可获得他发布的所有信息。 2，选择一个，点击删除。正常逻辑是发验证码给该手机号，但是，burp，你懂的。 3，你设置的手机号就会收到验证码。 4，用你的手机号加上验证码提交，成功删除。   个人测试的是删除一条的情况，没有测试删除多条的情况。 漏洞证明：   修复方案： 介个，你们懂的，我说的很明白了吧！ 作者 unic02n

查看更多关于58同城逻辑判断失误致任意信息删除漏洞 - 网站安的详细内容...