某拼车App重置所有用户密码 - 网站安全 - 自学p

修改密码功能存在缺陷 可重置任意用户密码

App 修改密码功能，没有对旧密码做验证，可通过user_id来重置任意用户密码

通过工具抓去修改过密码得请求数据  

试着修改user_id 查看页面返回信息 本人得  

测试用户 手机号15811111567 user_id 39111  

 

修改密码界面  

测试用户  

 

图片涉及用户数据的地 还请管理员打码

修复方案：

加强权限验证

查看更多关于某拼车App重置所有用户密码 - 网站安全 - 自学p的详细内容...