我的第一个漏洞：通过密码重置实现邮箱枚举

大家好！我是Zouhair，很高兴与大家分享我的第一篇文章。

在我们开始之前，根据项目规则，我不能使用真实姓名，我们将用"大象"作为昵称来替代真实姓名。

当我开始学习漏洞赏金时，我一直梦想着找到我的第一个真正的漏洞。经过一些侦察和测试，我终于发现了一些有趣的东西——一个经典的通过密码重置功能实现的邮箱枚举漏洞。

这可能看起来很小，但对我来说是一个很好的教训，我想在这里分享细节。

现在开始

在我的侦察过程中，我发现了一个用于内部大象员工的域名。这立即引起了我的好奇心——这个门户网站是否会泄露这些员工的信息？

在那里我注意到一个"忘记密码"选项——这是寻找潜在问题的完美场所。

我点击了"忘记密码"，输入了一个随机邮箱，并使用Burp Suite拦截了请求。

对于不存在的邮箱（如test123@gmail.com），API响应为：

1

{"username":"Member Not Found"}

在网上搜索后，我找到了一个真实的员工邮箱进行测试：

1

{"message":"Reset Password Link Sent","success":true}

Boom 💥——有效和无效账户之间的明显差异。

起初，这可能看起来无害。但实际上，这个漏洞允许任何人：

修复也很简单：无论邮箱是否存在，始终返回通用消息。例如：

1

{"message":"If this email is associated with an account, you will receive a password reset link."}

它被归类为中等严重性漏洞。

这个漏洞教会我不要忽视小细节。即使是一个简单的JSON差异也可能暴露敏感信息。侦察+好奇心=我的第一次胜利！

这可能不是最大或最关键的漏洞，但这个漏洞给了我信心和动力，让我在漏洞赏金领域继续前进。在这里分享它是我记住起点的方式，也是帮助初学者看到即使是"简单"的发现也很重要。