链接：https://krevetk0.medium.com/credential-stuffing-in-bug-bounty-hunting-7168dc1d3153

多数的用户是喜欢使用相同的密码，如果把能Credential stuffing用来找bug bounty就好了。

有网站可以找到电子邮件和相关被泄露的泄露，其实就是国内说的裤子。

有很多厂商其实是不接受用户名泄露的报告的，但是作者做了测试之后发现基本所有的公司都接受了报告还支付了奖励。

作者的做法就是拿泄露的用户名和密码去各个服务去尝试登录。

他们发现的报告

1. Admin access to repo.redacted.com with leaked credentials

这个对开发环境的完全功能访问。给了2000刀，而且这数据是2013年都泄露了。

2. Access to the main corporate service with leaked CIO credentials

访问权限来自于公司的CIO，这确实有点搞笑。

3.Unrestricted access to some popular corporate services.

看到上面几个例子，确实有种还能这样的感觉。怎么证明他们没干坏事确实很难，但是厂商的密码策略还是需要改进一下了。

这里，那我们收集一些常见的用户名和密码应该是没问题的。但是针对性的对厂商的员工进行搜集，然后爆破是不是还是有政策问题。

参考资源：

1.https://sergeybe.love/2021/05/the-modern-web-does-not-provide-mechanisms-to-prevent-account-takeover-even-fido2/