密碼變更功能是任何使用者系統的核心部分，但如果設計不當，它可能成為攻擊者接管帳戶的直接途徑。一個不安全的密碼變更功能，會讓攻擊者在未經適當授權的情況下，擅自修改受害者的密碼。
什麼是不安全的密碼變更功能？
此漏洞指的是應用程式在處理密碼修改請求時，未能正確驗證使用者的身份，或存在其他邏輯缺陷，從而允許攻擊者繞過驗證機制，為任意帳戶設定新密碼。
常見的漏洞與攻擊情境
情境：未要求輸入舊密碼
這是最常見也最危險的缺陷。
- 取得 Session：攻擊者透過會話劫持 (Session Hijacking) 或 XSS 等方式，竊取了受害者的 Session Cookie，從而暫時登入其帳戶。
- 直接變更密碼：攻擊者進入「變更密碼」頁面。由於應用程式設計不安全，系統只要求輸入「新密碼」和「確認新密碼」，而不需要驗證舊密碼。
- 帳戶完全接管：攻擊者輸入一個新密碼並成功儲存。如此一來，他就永久地將受害者鎖在門外，並完全控制了該帳戶。
風險與影響
- 帳戶完全被盜：攻擊者可以永久性地奪取使用者帳戶的控制權。
- 敏感資訊洩漏：攻擊者能存取帳戶內所有的個人資訊、歷史紀錄等。
- 進一步的攻擊：利用被盜帳戶進行詐騙、散播惡意軟體或攻擊其他系統。
防禦與預防措施
要建立一個安全的密碼變更功能，開發者必須實施多層次的驗證與檢查。
1. 強制驗證當前密碼
這是最基本也是最重要的防線。在允許使用者設定新密碼之前，必須要求他們輸入正確的當前密碼。
2. 確保後端驗證使用者身份
- 密碼變更的邏輯必須在伺服器端執行。
- 伺服器應依賴當前已驗證的 Session 來識別是哪個使用者在請求變更密碼，而不是依賴任何前端傳來的隱藏欄位（如
userID）。這可以防止攻擊者修改請求中的userID來變更其他人的密碼。
3. 保護管理員的密碼修改功能
- 如果系統允許管理員為使用者重設密碼，該功能頁面必須受到嚴格的權限控管。
- 確保只有具備管理員角色的使用者才能存取此功能。
4. 實施速率限制 (Rate Limiting)
對密碼變更的嘗試次數進行限制，以防禦暴力破解攻擊。
5. 通知使用者
在密碼成功變更後，應立即透過電子郵件或簡訊通知使用者。如果變更並非本人操作，使用者可以第一時間察覺並採取行動。
說些什麼吧！