一、 密码重置链接未过期

当用户请求更改密码时，会得到一个密码重置链接来重置密码，该链接应该在一段时间后过期。

二、 密码重置无速率限制

我们在通过邮件或者短信获取找回密码的链接的时候由于服务器对获取链接的速率限制不严格或者没有限制,攻击者可以通过重放操作来发送大量的密码重置链接,从而产生短信轰炸或者邮箱轰炸漏洞，在日常的工作中其实可以尝试在email或者电话号码中添加特殊字符比如 空格 +86 ? \等来绕过对email或者电话号码的限制。

三 、输入长密码时拒绝服务

密码通常为8-12-24位或最多48位。

四、 通过密码重置页面进行用户枚举

这个显而易见，有的网站会提醒你输入的用户名或者邮箱是否正确,网站可能在登录做了防护，在忘记密码处可能忘记了。

五、 host 头中毒

其实这也是很常见的一种漏洞了,邮件还是发送到受害者的邮箱,如果受害者没注意的话点击链接，攻击者控制的网站的记录中可以查看到请求记录，然后在拼接成正确的域名即可实现任意用户密码重置
更改 host头:

六、 referer泄漏密码重置令牌

referer请求头包含上一个网页的地址，所以有可能我们在打开重置链接页面时，点击重置链接页面的另一个链接会带上referer，从而泄露密码重置链接。

打开密码重置页面,添加电子邮件并单击发送

七、 弱凭证问题

如果密码重置链接中包含可以被攻击者轻易猜到的凭证，那这个重置密码链接是不安全的。

http://example.com/reset-password?user=victim-user

https://redacted.com/update-password/12d52catcbc344ec-9871-85ac6390d863/1621264272

八、 凭证泄露

程序无意中泄露了重置密码的token等重要凭证，导致可以任意重置密码

在请求重置密码时，发送重置请求链接时会发送一个token值:
在走流程到重置密码的时候发现该token同样是重置密码时的token:
所以只要我们输入存在的用户名，然后在请求的时候会获得一个可以用在重置密码时的token从而实现任意密码重置。

九、 使用电子邮件参数重置密码

在受害者请求密码重置链接时，我们可以尝试以下参数操作，攻击者可以获得受害者的密码重置链接

一 双参数(又名HPP/HTTP参数污染)
[email protected]&[email protected]
二 json表
{"email":["[email protected]","[email protected]"]}
三 使用分隔符
[email protected],[email protected]
[email protected]%[email protected]
[email protected]|[email protected]
四 
[email protected]%0a%0dcc:[email protected]

payload:{"email":["[email protected]","[email protected]"]}

HTTP/1.1 401 Unauthorized
("message":"unsuccessful","statusCode:403,"errorDescription":"Unsuccessful")

("message":"success","statusCode:200,"errorDescription":"Success")

跳转到了更改密码的界面，进行密码的更改
发现密码修改成功,这里修改了密码一定要试下是否修改成功，现在大部分站前端验证是可以跳过，但是最后修改密码是不成功的。

总结

其实吧思路是层出不穷,这只能算是最基本的思路吧。只是希望大家在测试的时候不至于盲目，没有头绪，在基本的操作之上发现骚操作，这应该才是我们的追求。

作者：爱吃猫的闲鱼 原文地址：https://xz.aliyun.com/t/9719

如有侵权，请联系删除