修改账号时未校验旧密码

Question

在用户修改账号密码时，若未校验旧密码，攻击者可在获取会话权限后直接重置密码，实现越权操作。该问题常见于身份鉴权逻辑薄弱的Web应用中，违背了“强认证”安全原则，易导致账户被盗或信息泄露，属于典型的安全配置缺陷。

Answer 1

一、问题背景与安全原则剖析

在现代Web应用系统中，用户身份认证是保障数据安全的第一道防线。当用户修改密码时，若系统未强制校验“旧密码”，则会形成严重的安全漏洞。攻击者一旦通过XSS、CSRF或会话劫持等方式获取合法用户的会话权限（如Session ID），即可绕过身份验证直接修改目标账户密码，实现越权操作。

此类行为严重违背了“强认证”安全原则，即：任何敏感操作必须基于可信的身份确认机制。该缺陷归类为OWASP Top 10中的“A07:2021 – Identification and Authentication Failures”，属于典型的安全配置疏漏。

以下从技术深度与广度两个维度，逐步解析该问题的本质、影响路径及防护策略。

二、漏洞成因分析（由浅入深）

1. 表层现象：前端页面仅提供新密码输入框，无旧密码字段。
2. 逻辑缺陷：后端API接口接收密码修改请求时，未验证当前用户是否真正知晓原密码。
3. 会话滥用：只要持有有效Session，无论来源如何，均可触发密码变更。
4. 权限越界：本应属于“自我证明”的操作被降级为“身份标识即可执行”，导致横向越权风险。
5. 链式攻击利用：结合钓鱼、中间人攻击或客户端脚本注入，可批量实施账户接管。

三、典型攻击流程图示（Mermaid）

        ```mermaid
        graph TD
            A[攻击者获取用户会话Cookie] --> B{是否登录状态?}
            B -- 是 --> C[发送修改密码请求]
            C --> D[服务端未校验旧密码]
            D --> E[成功更改目标账户密码]
            E --> F[原用户无法登录，账户被劫持]
            B -- 否 --> G[使用钓鱼页诱导登录]
            G --> A
        ```
    

四、常见技术场景与误配置案例

应用场景	典型错误实现	风险等级	是否需旧密码校验
普通用户修改密码	仅传new_password	高危	必须校验
管理员重置用户密码	无需旧密码（合理）	中等	例外情况
忘记密码流程	通过邮箱验证码重置	中危	不适用
社交登录绑定账号	首次设置密码无旧密码	低	无需
移动端自动同步会话	长期Token未刷新	高危	需加强会话控制
单点登录(SSO)子系统	信任主站会话但无二次确认	高	建议增强
API接口设计	PATCH /user/password 接收明文密码	极高	必须校验
测试环境遗留功能	开发模式下关闭密码验证	高	禁止上线
第三方OAuth回调	自动更新本地密码	中	需用户主动操作
批量导入用户初始化	强制首次修改密码	低	无需旧密码

五、解决方案与最佳实践

• 所有修改自身密码的请求必须包含old_password字段，并在服务端进行哈希比对。
• 采用PBKDF2、Argon2等安全算法存储密码，避免明文或弱哈希（如MD5）。
• 关键操作前增加多因素认证（MFA）挑战，如短信验证码或TOTP。
• 限制密码修改频率，防止暴力尝试，例如每小时最多3次。
• 记录密码修改日志，包含IP地址、时间戳、User-Agent等信息用于审计。
• 会话Token应具备短期有效性，并在密码修改后立即失效所有旧会话。
• 前端应使用HTTPS传输密码，禁止在URL或LocalStorage中保存敏感数据。
• 实施CSP策略防范XSS，减少会话窃取可能性。
• 定期进行渗透测试，模拟会话劫持+密码篡改攻击链。
• 建立自动化监控规则，检测异常地理位置或设备的密码修改行为。

六、代码示例：安全的密码修改接口（Node.js + Express）

const bcrypt = require('bcrypt');
const User = require('../models/User');

app.post('/change-password', authenticate, async (req, res) => {
    const { old_password, new_password } = req.body;
    const userId = req.session.userId;

    if (!old_password || !new_password) {
        return res.status(400).json({ error: 'Missing old or new password' });
    }

    const user = await User.findById(userId);
    const isMatch = await bcrypt.compare(old_password, user.passwordHash);

    if (!isMatch) {
        return res.status(401).json({ error: 'Old password is incorrect' });
    }

    const saltRounds = 12;
    const newPasswordHash = await bcrypt.hash(new_password, saltRounds);
    user.passwordHash = newPasswordHash;
    await user.save();

    // 注销所有活跃会话
    invalidateAllSessions(userId);

    res.json({ message: 'Password updated successfully' });
});