上海某政府服务APP任意重置密码可获取用户敏感信息

该APP可从APP store下载

拿朋友的号 18301733774 尝试    点击右下的忘记密码

找回途径选择短信验证码

填写进入下一步

这里无需知道验证码是多少，随意填写即可

手机wifi连电脑代理开始抓包  截获服务器返回包

将match字段修改为true再放行数据包

即可进入重置密码

输个admin123    再以新密码登陆就进来了