普遍的弱点

通常，应用程序具有一种机制，该机制为用户忘记了密码而获得访问其帐户的手段。通常，密码恢复机制很弱，这会使合法系统用户以外的人更有可能获得对该用户帐户的访问权。弱密码恢复方案完全破坏了强大的密码身份验证方案。

这种弱点可能是，安全问题太容易猜测或找到答案（例如，因为问题太普遍，或者可以使用社交媒体找到答案）。或者，密码恢复机制代码中可能存在实施弱点，例如，可能会将系统诱骗到将新密码发送给电子邮件帐户以外的电子邮件中。重置密码速率可能没有进行任何限制，因此，如果攻击者试图快速连续恢复其密码，则可以拒绝合法的用户服务。系统可以将原始密码发送给用户，而不是生成新的临时密码。总而言之，密码恢复功能（如果未仔细设计和实施）通常可以成为系统的最弱链接，该链接可能会以允许攻击者获得未经授权的访问系统的方式滥用。

该清单显示了可能出现的弱点的可能区域。这些可能适用于特定的命名语言，操作系统，体系结构，范式，技术或一类此类平台。该平台与给定弱点出现在该实例的频率一起列出。

语言

示例1

eBay攻击是这种弱点的著名例子。eBay总是显示出价最高的用户ID。在拍卖的最后几分钟中，其中一个投标人可以尝试将其作为最高投标人的登录。经过三个不正确的日志，eBay密码节流将启动并锁定出价最高的帐户一段时间。然后，攻击者可以进行自己的出价，受害者将没有机会放置柜台出价，因为他们会被锁定。因此，攻击者可以赢得拍卖。