记一次任意账号登录漏洞

文章首发于：火线Zone社区（https://zone.huoxian.cn/）一次偶然情况下， 发现在某app（app名称暂保密）中有个一键登录功能，由于一键登录不需要验证码、密码之类的校验，结合拦截的请求数据进行分析，发现可以通过更改请求参数（username）的方式，达到任意用户登录的目的，以下是测试的具体步骤：1、手机连上Charles，搭建好抓包环境；2、正常的进行登录，查看登录请求：发现请求参数中username的值是明文的手机号码；App一键登录界面：正常登录请求3、登录，在login这里打个断点，更改username 的值，然后登录，查看结果显示登录成功。更改username参数值后的请求：备注:发现一键登录的请求参数中还有个source：one_key_login,这个很明白的告诉我是一键登录的标记， 那么用其他 ………………………………