双因子认证下的任意用户密码重置

双因子认证系统登录时，找回密码需要账户、手机号和手机验证码。

实际测试发现可以绕过短信验证码，任意重置密码并成功登录后台。

手机号未与账号绑定是导致漏洞的原因。

登录页面需要账号密码和短信验证码进行校验。

注册页面需要审核，无法直接注册新账号。

忘记密码页面需要输入账户、手机号和验证码，但输入任意账号返回账号不存在。

通过抓包测试发现，手机验证码可以绕过，但密码校验无法绕过。

尝试密码重置时，输入已知账号和任意手机号及验证码，成功修改返回包。

最终成功重置密码并登录系统后台，发现系统存在严重安全漏洞。

总结系统缺陷：短信验证码可被绕过，手机号与账号未绑定。