昨天晚上发现了西安公路客运网上售票系统网站的密码找回系统存在安全漏洞，得出的结论是：
密码找回页的漏洞：
密码找回页的漏洞：
1、用户名栏支持用户名、身份证、电话三种任意一种匹配。
2、这一步是关键，密码找回问题提示栏居然之家显示的是密码找回问题的答案。
3、这一条更是弱智到了变态的极点：密码找回邮箱可以随意填写。
2、这一步是关键，密码找回问题提示栏居然之家显示的是密码找回问题的答案。
3、这一条更是弱智到了变态的极点：密码找回邮箱可以随意填写。
后经我具体测试发现，其实第二条不算是严格意义的漏洞，是由于注册页面的设计不当造成的。
在注册页面有 “密码提示问题：”、“自己输入问题：”“问题回答：”三个输入区域，也就是说两个问题可以同时存在，而理论上这两个问题输入项应该对应两个“问题回答”才合理。
在注册页面有 “密码提示问题：”、“自己输入问题：”“问题回答：”三个输入区域，也就是说两个问题可以同时存在，而理论上这两个问题输入项应该对应两个“问题回答”才合理。
一般来说常见的用户注册有以下两种方案：
1、 “密码提示问题：”、“自己输入问题：”二者选一个，界面自动显示和隐藏“系统问题答案”“自定义问题答案”输入框。
2、 “密码提示问题：”、“自己输入问题：”和“系统问题答案”“自定义问题答案”四个输入区域同时存在。
而目前 西安公路客运网上售票系统网站 的”用户注册“界面明显存在设计的缺陷，用户在习惯上容易把“系统问题答案”输入到“自己输入问题：”这一栏里，“自己输入问题：”这一栏在用户的使用习惯上存在了二义性的问题，从而导致如下漏洞的真实存在：
1、用户名栏支持用户名、身份证、电话三种任意一种匹配。
2、这一步是关键，密码找回问题提示栏居然之家显示的是密码找回问题的答案。
3、这一条更是弱智到了变态的极点：密码找回邮箱可以随意填写。
不过这样低级的缺陷一般也只有*的项目才存在，这一点是关键！