补天 - 汇通网存在cookie混淆导致任意用户密码重置

漏洞挖掘

1、打开Url：https://member.fx678.com/ResetPwd_1.html，然后输入正确的手机号码，会来到第二个url

2、来到第二步，同样正确的输入验证码来到第三步

3、然后重新打开Url：https://member.fx678.com/UserInfo/resetPwd_1，然后输入任意用户手机

4、然后会回到 https://member.fx678.com/UserInfo/resetPwd_2

5、然后回到第二步的那个链接把密码输入为

123456free

然后提交

然后用账号18888888888、密码123456free就可以登陆~