吉祥航空逻辑漏洞可重置任意用户密码 -电脑资料

    吉祥航空主站密码找回存在设计不当

    第二步发送验证码出抓包

    由于没有限制输入验证码次数，因此可以爆破，10秒内可出结果

    输入正确验证码，进入重置密码步骤，密码重置为11112222

    成功

    登陆进去，可以查看用户信息等等

    主站的重置密码危害还是挺大的

解决方案：

    更改验证码校验规则1.限制次数2.增加位数