前言

当时在上课，但是自己不想听课啊，就开始翻翻src了，翻到这个网站啥也没摸到，功能点也巨少，还有waf 打xss <h1>标签都拦截，但是我不甘心啊，好不容易碰到可以注册的资产当然不能放过，就接着整了。

一、开始测试

利用该漏洞，我们可以登录任意账号，并且查看用户的敏感信息(所有手机号都打码了)

提供两个账号

188888888888 xx123456

177777777777 xx123456

http://xxxxxxx.com/xxxx/Index

登录找到这里

信息全部正常填写 注意观察手机号

用177账号添加 一个16666666666

再用188账号 也添加 一个16666666666

提交审核之后找到这里 (提交了才可以成为自己的成员账号)

这个是177的

这个是188的账号

二、整理思路

思路我们就是把另外一个用户的手机号去成为我们的成员

然后给她开通账号

这样一个用户就有两个密码了

经过测试 16666666666 有两个密码 一个是自己本身的 另外一个就是 cz666666

这两个密码都可以登录16666666666 我们用 cz666666密码登录上去

登录的时候会要求选择企业

这两个企业分别是两个用户的 177 和188的

登录之后就可以查看敏感信息了

到这里也就是结束了，一共用了一节课的时间，平时看到waf就很烦，但是对于功能点稀少的网站一定要把所有可以点击的都尝试去触发才知道具体的作用，就比如刚开始不提交信息审核根本不会添加自己的组成员。