密码重置逻辑
一码多用（验证码未绑定手机号）验证码回显前端修改密码未确认用户身份验证码不失效本地验证的绕过修改接收的手机或邮箱跳过验证步骤
支付逻辑漏洞
https://www.jianshu.com/p/8ca02b6de053
密码重置漏洞
第三种方式:
上面原码分析,验证$userId 的参数是否在用户表中,但是没有验证是否在 cooke 中的一致,所以,申请两个账户,然后使用抓包工具,发现 userId 的差别,然后进行修改,重放,发现修改成功
验证码不失效
原因缺少
验证码爆破
- link: https://ywzzy.github.io/2023/06/29/frontend/security/mi-ma-chong-zhi-lou-dong/
- Copyright notice: All articles on this website, unless otherwise stated, adopt CC BY-NC-ND 4.0 reprint policy. If reproduced, please indicate source!
