统一对外交换系统安全优化方案.pdfVIP

点击修改忘记

然后会出现所需修改的以及获取这里随便填写直接抓包

然后放包抓取返回包，将success：0改成1

即可绕开前端验证(这里可以猜到后端并没有做验证只是将数据进行了比对，然后返回0验

证失败，1验证成功然后由前端进行验证)

然后修改成功

整改：

1填写校验信息（原始、新等）后再提交修改请求

2对客户端提交的修改请求，应对请求的用户与当前登录的用户进行校验，判

断是否有权修改用户的并对原始是否正确也进行判断

3不应将用于接收验证信息的、邮箱等信息全部明文传到客户端，应对、邮箱等信

息进行处理，或不将此类信息返回到客户端。

4重置中的关键信息应随机化，不可预测（例如token机制），且将关键信息

返回到客户端。