-
換一種姿勢(shì)挖掘任意用戶密碼重置漏洞
大家有沒有發(fā)現(xiàn)： 當(dāng)你忘記自己的賬戶密碼，需要重置/找回密碼時(shí)，會(huì)發(fā)送驗(yàn)證碼到你綁定的手機(jī)號(hào)上。 圖片源于網(wǎng)絡(luò)，侵刪 這種行為一般用于身份驗(yàn)證，但也可能存在極大的邏輯漏洞——密碼重置漏洞。 密碼重置漏洞，顧名思義，漏洞位置在重置/找回密碼處，由于驗(yàn)證設(shè)計(jì)過于簡(jiǎn)單，而且驗(yàn)證碼的使用次數(shù)沒有限制，導(dǎo)致正確的驗(yàn)證碼可以被枚舉爆破，從而重置密碼。 密碼重置漏洞類型 除了驗(yàn)證不嚴(yán)格之外，還有諸如敏感信息泄露、重置密碼消息劫持等比較常見的漏洞，密碼重置漏洞在生活中很是普遍，在各類網(wǎng)絡(luò)安全事件中，占比也非常高…
