Hello there, ('ω')ノ
ビジネス ロジックの脆弱性 (アカウントの乗っ取り) から 1000 ドルを稼いだ方法を。
脆弱性：
ロジックの欠陥
アカウントの乗っ取り
記事：
今回のサイトは、target.com と呼ぶことに。
Target はプラットフォームの IT コンサルテーションであり。
Target にはサブドメイン app.target.com があり。
顧客がログインして製品を管理するためのメイン アプリケーションで。
app.target.com には機能チーム メンバーがいて。
すべてのメンバーに役割 (所有者、管理者、ユーザー) があって。
この機能に 2 つの欠陥ロジックが見つかり。
１．所有者の役割を持つアカウントは、電子メール アカウントを含む。
メンバー アカウント データを編集でき。
２．所有者の役割を持つアカウントは、招待されたアカウントによる確認なしに。
他のアカウントを彼のチームに追加でき。
メールでアカウント ターゲットを検索すると。
管理者アカウント (admin@target.com) が見つかり。
チームに管理者アカウントを追加して。
次に、メールを自分のメールに変更し、メールでパスワードをリセットして。
新しいパスワードでログインできて。
Best regards, (^^ゞ
