逻辑漏洞之密码找回漏洞（semcms）

什么是密码找回漏洞

利用漏洞修改他人帐号密码，甚至修改管理员的密码。

一般流程

1 首先尝试正常找回密码流程，选择不同的找回方式，记录所有数据包 2 分析数据包，找到敏感部分 3 分析后台找回机制所采用的验证手段 4 修改数据包验证推测

可能产生该漏洞的情况

代码语言：javascript复制

1、验证码爆破的，对验证码有效期和请求次数没有进行限制；

2、token验证之类的，直接将验证内容返回给用户；

3、找回密码功能的进行身份验证内容未加密或者加密算法较弱，容易被猜解；

4、对用户的身份验证在前端进行，导致验证被抓包绕过；

5、在最后一步修改密码的动作时，没有校验帐号是否通过了验证、短信与手机号是否对应。

脑洞图

1.用户凭证暴力破解

1.1 密码找回的凭证太弱，如只需要填入一个四位或者六位的纯数字，就可以重置密码，导致可以暴力破解。

2.返回凭证

2.1 url返回验证码及token（找回密码凭证发到邮箱中，url中包含用户信息以及凭证，但是这个凭证可以重置任何用户）

2.2 密码找回凭证在页面中（通过密保问题找回密码、找回密码的答案在网页的源代码中）

2.3 返回短信验证码

3.邮箱弱token

3.1 时间戳的md5（Unix时间戳） 3.2 用户名 3.3 服务器时间

4.用户凭证有效性

4.1 短信验证码 4.2 邮箱token 4.3 重置密码token

5.重新绑定

5.1 手机绑定（任意用户绑上自己可控的安全手机，就可以重置任意人的手机号码了） 5.2 邮箱绑定

6.服务器验证

6.1 最终提交步骤 6.2 服务器验证可控内容（在最后重置密码处跟随一个用户ID，改成其他用户ID，即可把其他用户改成你刚刚设置的密码） 6.3 服务器验证逻辑为空

7.用户身份验证

7.1 账号与手机号码的绑定 7.2 账号与邮箱账号的绑定

8.找回步骤

8.1 跳过验证步骤、找回方式，直接到设置新密码页面

9.本地验证

9.1 在本地验证服务器的返回信息，确定是否执行重置密码，但是其返回的信息是可控的内容，或者可以得到的内容（密码找回凭证在客户端获取，在密码找回时注意抓包查看所有url返回响应等，看是否有最终的凭证出现，这样就可以绕过手机或者安全邮箱了） 9.2 发送短信等验证信息的动作在本地进行，可以通过修改返回包进行控制