This topic created in 803 days ago, the information mentioned may be changed or developed.
 |
v1Aug 24, 2024
1
问题不大，有双重验证偷不了什么
|
 |
2
@kk2syc 双重验证后也是生成 cookies ，xss 可以直接用你验证完的身份操作
|
|
v1Aug 24, 2024
3
@drymonfidelia 怎么过不同 ip 和浏览器的问题呢？敏感操作没办法直接 api 操作。
|
|
4
|
|
5
@drymonfidelia 那个密码是用于改绑定手机号的，如果不改手机号甚至不需要密码。
|
 |
billccnAug 24, 2024
6
关键这个 bug 也太低级了，苹果这么大的公司竟然 PR 和扫描器都没有发现这个漏洞？
|
 |
MossFoxAug 24, 2024
7
这个只提到可以塞 HTML Tag ，没提到有脚本注入吧
|
|
8
@MossFox
don't sanitize html in the discussion title 很大概率能塞脚本了 @billccn 苹果的安全性我一直很怀疑，之前旧设备实现两步验证登录只需要把 6 位验证码写在账号密码结尾就可以登录，从技术上来讲要实现这个功能必须要明文传密码（如果要加密，必须在服务端能获取密码明文），我就去查了下别人逆向出来的 Apple ID 登录协议，原来从 HTTP 时代 Apple 就在明文传 Apple ID 密码了，连个加密都没有 https://github.com/majd/ipatool/blob/6597f5ac77a9e2323529604feaac6ba29c73366b/pkg/appstore/appstore_login.go#L63 这个是新的有 https ，但是还是明文传密码 |
Select Language