漏洞描述：邮件中的重置密码等链接可预测，导致链接可以直接被猜解访问。
测试方法：
1 先按照正常流程重置密码，接收重置密码邮件，分析重置链接的构造。
2 通常情况下链接中会使用token参数使得链接具有唯一性，判断该参数是否可预测。如用户名的md5值，用户名+时间戳的md5值等。
风险分析：攻击者通过猜测重置密码链接可重置他人账户的密码。
风险等级：
【高危】：存在需要收件人点击确认的链接中，无安全随机数，或token简单可预测。
修复方案：重置密码链接中的token使用安全随机数
漏洞描述：邮件中的重置密码等链接可预测，导致链接可以直接被猜解访问。
测试方法：
1 先按照正常流程重置密码，接收重置密码邮件，分析重置链接的构造。
2 通常情况下链接中会使用token参数使得链接具有唯一性，判断该参数是否可预测。如用户名的md5值，用户名+时间戳的md5值等。
风险分析：攻击者通过猜测重置密码链接可重置他人账户的密码。
风险等级：
【高危】：存在需要收件人点击确认的链接中，无安全随机数，或token简单可预测。
修复方案：重置密码链接中的token使用安全随机数
本文标题：邮件内容中请求链接可预测
本文链接：https://www.haomeiwen.com/subject/anjcqctx.html
网友评论