記一次任意用戶密碼重置漏洞(session覆蓋)

首先，註冊用戶(兩個用戶)，我用我的小號，大號進行註冊，過程方便就先省略 接下來兩個號分別登錄，登錄完退出 (強迫症) 然後就去找密碼重置的界面了 第一個是被重置的帳戶 然後分別發送郵件 注意！:第一個先發送，在發送第二個 可以看到，兩個號都發送成功 接下來去第二個號的郵箱 點擊這個鏈接之後出現頁面，然後在url中修改qq，如下圖 ok,輸入密碼和驗證碼後，提交之後： good 登錄 好了，漏洞驗

>>阅读原文<<