转载自：http://www.zmnhssn.com/?post=61
漏洞地址：https://user.qspfw.com 用户登陆界面
具体漏洞地址: 用户密码找回界面：https://user.qspfw.com/page/user/findpwd/forget_pwd.do
这里可以确认网站有没有这个用户，这个用户也是在其他页面找的，貌似还是个妹子。
然后这里可以看到注册人的邮箱，抓包修改邮箱
点击下一步。
邮箱收到了验证码。
漏洞点出场了，估计程序员比较懒，只对发送的邮箱和发送邮箱的验证码进行验证，也就是说，这个找回密码的功能 和用户的邮箱没有一毛钱的关系！
包里的email和vcode 是我的邮箱和我收到的验证码。
ok 成功绕过，直接重置密码了。
可以看到用户的个人信息都泄露了
随后又实验了几个 都可以的