Session覆盖测试

Session覆盖测试

找回密码逻辑漏洞测试中也会遇到参数不可控的情况，比如要修改的用户名或者绑定的手机号无法在提交参数时修改，服务端通过读取当前session会话来判断要修改密码的账 号，这种情况下能否对Session中的内容做修改以达到任意密码重置的目的呢？ 在某网站中的找回密码功能中，业务逻辑是：由用户使用手机进行注册，然后服务端 向手机发送验证码短信，用户输入验证码提交后，进入密码重置页面。 对网站中Session覆盖的测试如下：

（1）需要准备自己的账号接收凭证（短信验证码）；

（2）获得凭证校验成功后进入密码重置页面；

（3）在浏览器新标签重新打开找回密码页面，输入目标手机号；

（4）此时当前 Session 账户已经被覆盖，重新回到第二步中打开的重置密码页面即 可重置目标手机号。

修复建议

Session覆盖类似于账号参数的修改，只是以控制当前Session的方式篡改了要重置密 码的账号，在重置密码请求中一定要对修改的账号和凭证是否一致做进一步的校验