Форма восстановления пароля и форма смены пароля относятся к критическим точкам безопасности веб приложения. Ошибка в их проектировании превращает защитный механизм в уязвимость и даёт злоумышленнику шанс захватить учётную запись даже при корректном хешировании паролей.
Суть уязвимостей формы восстановления пароля в том что цепочка действий от ввода логина до установки нового пароля реализована без жёсткой привязки к личности пользователя, устойчивым проверочным токенам и к защищённому транспортному уровню HTTPS. Это создаёт предсказуемые ссылки восстановления возможность перебора и скрытую смену пароля от лица жертвы.
Основные виды уязвимостей формы восстановления пароля
На практике наиболее типичны следующие вектора атаки:
- Слабый токен восстановления. Короткий или предсказуемый токен в URL отсутствие строгого срока жизни и привязки к пользователю позволяют подбирать значение методом brute force или повторно использовать старую ссылку.
- Неполная проверка при смене пароля. Форма смены пароля не требует ввода текущего пароля и при компрометации сессии через XSS или кражу cookie даёт прямой способ заменить пароль.
- Перечисление пользователей и перебор. Разные тексты ошибок отсутствие rate limiting и блокировок по IP позволяют собирать базу валидных логинов и пробовать сценарии восстановления.
- Отсутствие защиты от CSRF. Если запрос смены пароля не защищён от CSRF злоумышленник может встроить в страницу жертвы скрытую форму которая выполнит смену пароля без её участия.
- Ненадёжная доставка ссылки. Отсутствие принудительного HTTPS и утечки токена в заголовке Referer на сторонние домены упрощают перехват.
Комбинация этих проблем делает атаку возможной даже при ограниченных ресурсах поэтому при анализе безопасности веб приложения форма восстановления пароля рассматривается как отдельная область тестирования.
Инструменты и практические техники проверки
Первый шаг — перехват и анализ запросов формы восстановления и смены пароля. Удобно использовать Burp Suite или OWASP ZAP в роли HTTP прокси. Для быстрого автоматического сканирования подойдёт OWASP ZAP в контейнере Docker.
docker run -u zap -p 8080:8080 owasp/zap2-docker-stable \
zap-baseline.py -t https://target.example -r report.html
Отчёт покажет незащищённые параметры формы использование небезопасного протокола HTTP отсутствие HTTPS и базовые проблемы с CSRF.
Для оценки стойкости проверочного токена используют генераторы нагрузок вроде wfuzz или ffuf. Пример грубой проверки реакции формы на перебор токенов.
wfuzz -u "https://target.example/reset?token=FUZZ" \
-z range,1-100000
Если сервер долго принимает попытки без блокировок или возвращает отличающиеся ответы логика токена слаба и подвержена атаке.
Корректность защиты от CSRF проверяют через модуль Repeater в Burp Suite или через утилиту curl отправляя запрос смены пароля без CSRF токена или с произвольным значением.
curl -X POST https://target.example/profile/change-password \
-H "Cookie: session=..." \
-d "old=&new=NewStrongPass123&csrf="
Если смена пароля выполняется несмотря на некорректный CSRF токен форма уязвима.
