本来单条漏洞不至于到15，但是这里考虑到 利用难度，影响范围，重复利用等影响方面，并且攻击的是用户的认证体系。所以自己感觉危害比较大。
这里不能说的太详细，，
1，找回密码部分：两种方式，mail和phone，但是验证码都是6位数字，（邮箱）是24小时有效。可以暴力。
2，使用后的验证码并未销毁，24小时内可以再次使用，这里就很危险了，只要你找回了密码，24小时内，还可以被修改。
3，涛涛电脑知识网，综合1，2，写个程序跑下可以将24小时内使用了找回密码的链接都找出来，并且给他们重置密码。
这里有个问题，因为修改密码并不知道修改的是谁的，所以，在定点攻击的时候会有些麻烦，涛涛电脑知识网，需要改多个url对应的密码，但是，交给程序还是小菜。
漏洞证明：
1，程序跑到一个
2，
修复方案：
1，减少验证码有效时间
2，使用后即销毁
3，增加验证码复杂程序，整个md5 不困难吧，
4，限制该功能单个ip提交频率
作者 unic02n
