某拼车App重置所有用户密码 – 网站安全 – 自学p

修改密码功能存在缺陷 可重置任意用户密码

App 修改密码功能，没有对旧密码做验证，可通过user_id来重置任意用户密码

通过工具抓去修改过密码得请求数据
 

试着修改user_id 查看页面返回信息

本人得
 

测试用户 手机号15811111567 user_id 39111
 

修改密码界面
 

测试用户
 

图片涉及用户数据的地 还请管理员打码

修复方案：

加强权限验证