- 服务器端要做认证，是否存在绕过前端控制
- 涉及登录验证token之类的，检查验证内容是否直接返回给用户
- 认证凭证加密，推荐强算法（推荐使用AES: 128位，RSA: 2048位，DSA: 2048位）
- 认证凭证中的参数应进行混淆处理，越权的风险
- 在多个验证操作中，要对各验证机制进行排序，以防出现跳过前面验证机制直接到最后一步认证的安全风险
- 手机短信码验证，是否同时校验手机号和短信是否对应，可以测越权
- 输入框中，应校验输入数据合法性，防止产生XSS跨站脚本攻击
5 个回答
首先是逻辑漏洞，利用代码逻辑问题 无凭证（验证问题、两步验证等）直接可修改密码
然后是否存在越权修改其他账户的密码，例如你已知某普通用户账号密码，通过更改密码修改管理员用户密码
1、修改密码不需要原始密码或其他验证模式导致CSRF漏洞
2、有验证码可以测试验证码相关的一些列漏洞
3、修改密码处是否存在注入类的漏洞
4、合规相关的敏感信息的明文传输
5、密码修改功能是否存在越权类
1.更改密码处可能出现csrf漏洞，当不需要输入旧密码的时候可能存在
2.更改密码处可能出现任意密码重置漏洞，当服务器不对旧密码进行匹配，只验证新密码的时候存在
3.更改密码处可能出现越权漏洞，当服务器未对用户身份进行有效的验证的话，可以通过id等参数越权修改其他用户密码
4.更改密码处可能出现短信验证码漏洞，当更改密码需要发送手机号时，可能存在短信轰炸、验证码不失效、验证码可枚举等漏洞
5.更改密码处可能出现逻辑漏洞，当旧密码可用万能密码进行拼接时，绕过了服务器验证，从而更改新密码
1.更改密码处可能出现csrf漏洞，当不需要输入旧密码的时候可能存在
2.更改密码处可能出现任意密码重置漏洞，当服务器不对旧密码进行匹配，只验证新密码的时候存在
3.更改密码处可能出现越权漏洞，当服务器未对用户身份进行有效的验证的话，可以通过id等参数越权修改其他用户密码
4.更改密码处可能出现短信验证码漏洞，当更改密码需要发送手机号时，可能存在短信轰炸、验证码不失效、验证码可枚举等漏洞
5.更改密码处可能出现逻辑漏洞，当旧密码可用万能密码进行拼接时，绕过了服务器验证，从而更改新密码