### 简要描述:
如果当前密码被他人知道 可能导致永远无法找回密码
### 详细说明:
某日,社工某骗子的某论坛ID发现的
通过过去csdn数据库查到了他的密码,竟然是一样的,果断登陆
登陆之后,想想,给他密码和邮箱修改了,改到了自己的
突然想研究下找回密码,只对次数进行了过滤,最后一次有效……
试了下……更改邮箱之后之前邮箱里发的找回密码的邮件竟然还有效……
首先各种办法,得到某ID,更改邮箱和密码,通过找回密码往自己改后的邮箱发找回密码的邮件,然后……ID主人发现被盗,邮箱被改肯定会联系管理员啊,管理员帮他改好了,你再用你改后邮箱里邮件找回密码,如此重复,一个ID就彻底废了
### 漏洞证明:
密码被他人知道 可以直接挂掉ID
暂无评论