免责声明
由于传播、利用WK安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负
责，WK安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除
并致歉。谢谢！0x01 开端
一天下午，星球群内好兄弟突然发了条wx，为群内贡献了某证书站的账号账码。好巧不巧，他还没有进行测试，立马来了精神！登录上去之后，发现该平台是三方应用，某飞平台。刚进入系统，先大致浏览了系统的各个部分以及凭借经验先挑选出可能存在漏洞测试点。
0x02 个人中心处修改资料点
点击修改资料进行抓包，看看传入参数是怎么来控制的，会不会造成越权+信息泄露
很好测试了好久，没有！
0x02 任意手机号绑定
找了很多测试点，都没有什么收获，在最后要放弃的时候，看到了账号绑定处可进行手机号修改绑定！
之前并没有绑定，直接绑定，随便输入一个手机号（经过测试 11位必须要有）点击获取验证码处，进行抓包。
抓包进行重放
本想着这个已经SUCCESS，应该修改成功了，但是事实并没有，再次进行抓包，随便输入一个验证码，点击确定，抓包！
直接去跑包，我盲猜验证码是四位的，事实应该也是把！，跑完之后，发现啥都没有，算球了，直接来到刚才的位置，把验证码为null这个条件直接删除掉，然后再放包（全部都放掉）
确实勾八是这个回事！修改绑定成功
整个过程中，对这个系统进行挖掘，还是踩过不少坑，尝试过不少测试点的。不过该漏洞没有啥危害，edu不收！！
欢迎加我wx，一起交流交流
湘安无事团队 知识星球 一次付费，永久免费（付费之后会拉入内部成员群，直接免费续上）。有需要的直接添加上面微信 118永久，私我支付，直接拉内部成员群，扫码支付，三天后拉内部成员群。
内部群共享
1.fofa高级会员账号
2.360quake高级会员
3.某在线高级会员靶场账号（附带wp）
4.专属内部漏洞库（持续更新）
5.原创漏洞挖掘报告
6.it课表众多好课（持续更新）
7.在线答疑，不定期直播技术分享【湘南第一深情、wuli、Awake等】
星球介绍：
星球针对安全新人有优秀学习资源，星球专属嘉宾进行问题解答，
性价比很高。
如果你是入门不久，想要提升漏洞挖掘能力，那该星球是个不错的选择，星球内拥有
专属漏洞报告，
各种奇淫技巧、挖洞技术、专属嘉宾在线问答等。
欢迎您的加入，星球部分内容请你查看！！
星球专栏预览
扫码查看更多内容
文章引用微信公众号"WK安全",如有侵权,请联系管理员删除!