一次奇葩的任意用户登录

1. 在安全小天地测试某src时发现一个界面，域名为xxxa.xxx.com,是一个登录界面，发现该界面支持使用手机号登录以及注册功能，测试后发现该网站使用的短信验证码为123456
2. 因此用脚趾头都能想出来的洞就有了。任意用户注册，任意用户登录，虽然没有修改密码功能，（少了一个任意用户修改密码），但是多个企业用户注册（多个企业用户任意注册漏洞）。
3. 于是乎我一溜烟的提交了三个漏洞，在半小时后漏洞便过了审核，但是定级是低危，我有点疑惑，因此去询问工作人员，工作人员的答复是，虽然可以任意用户注册，但是登录不上，我就开始疑惑了，我明明可以登陆上，为什么他登陆不上，于是我申请再进行测试，但是我又惊呆了，企业已经将此修复，验证码变了，我突然感觉有理说不清，感觉死无对证，工作人员也是一再重复说审核没成功登录。那我能怎么办，只能是吃亏了。
4. 过了三天，我感觉心里不是滋味，怎么能高危变低危呢，因此再去看了一下那个站点，惊奇的发现又把验证码改回来了，于是我一顿操作，但是在我登录时也是出现了假登录问题（登录成功后显示登陆成功，但是一点击个人界面就会跳转到xxx.xxx.com让你再次登录），在观察后发现他跳转后的域名是xxx.xxx.com和我之前的域名xxxa.xxx.com少了a，于是我将域名再次改为xxxa.xxx.com再次登录，成功登录，于是我一溜烟的截图保存为文档，对漏洞进行再次扯皮，最终给我补了48分。任意用户注册以及任意企业用户注册给了边缘地位，登录给了边缘高危。但是我看了评分规则刚开始给我评低危时候是按照一般业务评价，最后增加了危害级别，却是把资产从一般资产降级为了边缘资产，因此我又进行了询问，官方说，刚开始不知道是测试环境，现在知道了是测试环境，因此为边缘。哈哈哈我能怎么办，一切解释权都由官方所有。我总不能说:请问你们怎么证明这个是测试环境呢？
5. 大致流程
   
6. 其实我也不知道这个操作的原理是什么，为什么第一次登录没有成功，第二次却成功了。
   有知道的师傅希望在评论区解答一下。

文字来源于- 火线 Zone-云安全社区，安全小天地只做文章分享，如有侵权，请联系站长删除