WEB滲透漏洞整理之任意用戶密碼重置

風險等級：高
漏洞風險：會使得攻擊者可重置任意賬戶進行惡意操作
N-Base分類：遠程攻擊----驗證碼暴力破解
漏洞描述：
由於應用系統修改密碼是通過手機驗證碼來驗證的，但未使用圖形驗證碼或驗證碼可重放造成對手機驗證碼的暴力破解，而且手機驗證碼往往又比較短，進而造成任意用戶密碼重置。
測試工具：BURP、PYTHON腳本
實戰案例：
本次的案例實際上已經有圖形驗證碼來防止暴力破解了，然而圖形驗證碼和手機驗證碼都沒有在服務器端驗證是否過期，造成一個驗證碼可以無限重放。而手機驗證碼採用的又是4位純數字驗證碼，也就是最高1萬次就可以100%爆破出驗證碼了。這裏再結合一點社工，收集一些關鍵人的手機號碼，那麼大概率就得到了管理員的賬號密碼了。

本次就成功重置了一個管理員的密碼。

關於密碼重置，還遇到一些設計的更差，當用戶輸入的用戶名正確時，程序就會自動返回用戶的手機號，並自動往該手機號發送驗證碼。這更是大大方便了惡意攻擊者。理想情況應該是輸入的用戶名和手機號碼同時正確方可進行後面的操作。
解決建議：
1、圖形驗證碼防暴力破解。
2、對手機驗證碼進行失效驗證，當輸入失敗一定次數就失效。