注：文章中涉及的敏感信息均已做打码处理，文章仅做经验分享用途，切勿当真，未授权的攻击属于非法行为！文章中敏感信息均已做多层打码处理。传播、利用本文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行承担！

在挖小程序漏洞时注意到一个医院后勤系统

可以进行用户注册

这里发现验证码回显漏洞 

注册后提示我们等待审核，并跳转登录界面

这里尝试弱口令登录，没有成功

系统有一个忘记密码功能

这里必须要测试一下了

修改密码需要我们填写手机号，这里写入我们自己的撞撞语气

还真的没有写验证身份的功能

这里也是直接把密码给修改了

小程序端登录上也没有什么信息可用

这里直接去 web 端使用凭证登录

探测到很多接口信息

泄露用户的个人信息

申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，

所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.