老师，你的代码有一个任意修改别人密码的漏洞！！！！

Question

在那个修改密码的页面，我把hidden里面的邮箱改成别人的，那我岂不是想修改谁就修改谁的密码？？？

Answer 1

bobby 2018-02-01 09:58:10

修改密码页面 必须要在登录的情况之下才行，而且只能修改当前登录用户的密码 这个是行不通的

• 慕运维2948618 #1

  老师，这位同学说的是找回密码时的漏洞，因为谁都可以进入密码修改界面，而在密码修改界面中却存在一个要修改密码的用户<input type='hidden'  value='[e-mail]'>，那么我将可以通过修改这个用户，从而修改别人密码。

• bobby 回复 慕运维2948618 #2

  这里如果为了安全，可以在这里填写一个用户的session，后台通过这个sessionid找到用户 然后修改用户就行了