任意用户密码重置（四）：重置凭证未校验
# 任意用户密码重置漏洞分析：重置凭证未校验
## 漏洞概述
任意用户密码重置漏洞是逻辑漏洞中最常见的一种，主要出现在密码找回功能中。本文重点分析"重置凭证未校验"这一类型的漏洞，即服务端未对用户提交的密码重置凭证（如验证码、密保答案）进行有效性校验，导致攻击者可以绕过正常验证流程重置任意用户密码。
## 漏洞原理
密码找回功能通常需要验证用户身份，常见方式有：
1. 发送重置验证码到用户绑定的邮箱或手机
2. 要求用户回答预设的密保问题
当服务端未对用户提交的重置凭证进行校验时，无论
2025-08-17 23:42:32
0