WooYun.org

红星美凯龙主站存在逻辑漏洞；
1. 在登录环节，不管重试多少次，均无验证码进行拦截，通过这种方式可以进行撞库；如下图所示：

2. 撞库结果如下图所示：可以看到前几个字节数比较小的为存在的用户；

然后就撞出来了如下几个用户；
3. 等下，还没完呢；任意用户密码重置呢？
仍然是忘记密码；首先用自己手机注册一个帐户，进行忘记密码操作，进入到如下步骤，暂停：

然后在当前浏览器在打开一个TAB页，对另一个存在的用户进行忘记密码操作，如下图所示：
　　

到当前步骤，暂停；
然后到自己手机注册的页面，刷新页面；输入新密码；123456；提交，用户密码重置成功；
然后用另一个用户（可以为任意用户）进行登录，密码为123456（刚才重置的密码）；
如下图所示：OK，成功登入，当然用户的所有信息一览无余；

显示了当前用户为刘先生；以及地址；

这里首先未设验证码，可以用手机号遍历，对存在的用户进行密码重置登录，那当前系统中所有用户的信息就都有了