WooYun.org

先说下
http://www.goodjob100.com/
1）乐清蚂蚁招聘密码找回的方法是与众不同的把由6位数字组成的密码发到注册邮箱~~~~
2）很多厂商的用户名就是公司的简称，邮箱就是公司的招聘邮箱，都很易容猜到（如：温州诚诺电气有限公司,用户名为：CENOE，注册邮箱为：cenoe@cenoe.com）

3) 没有登录错误次数限制
4）登录没有验证码，可无限次数爆破
5）这么大这么优秀的招聘网站，每天都有那么多企业发布招聘信息，乐清蚂蚁招聘应该会给我个小礼物的吧~~~
下面看看这个洞洞是怎么利用的
由于我是个在读书的小娃，不敢得罪这么多厂商，我还要找工作呢，下面真正爆破出的密码不是 温州诚诺电气有限公司 的哟~~~
1、在 乐清蚂蚁招聘 找回密码界面输入你想重置用户的用户名、邮箱

2、点击提交，由6位数字组成的密码会送到注册邮箱里（这个密码竟然没有时间限制~~哈哈），当然这个密码我们得不到，下面重点如何爆破~~

3、我们在正常的登录界面填写账号和密码，密码随意写123456，点击登录并抓包，

从抓到的包可以看出password就是密码

4、把抓到的包添加到intruder,设置好如图的爆破参数

5、自定义典，同时把爆破线程设置到120以增加爆破次数，很快可以爆破完成。

然后开始爆破~~~~
6、看看爆破的结果，从第二个红框框的长度可以得出，第一个红框框就是密码，而且测试成功，

说明一下：为了我这个学生娃儿毕业后能找到工作，真正爆破的不是上面提到的商家~~~~