WooYun.org

驴妈妈某处设计不当支付密码可被人任意更改，影响所有用户。
驴妈妈旅游网-中国新型的B2C旅游电子商务网站，为旅游者提供景区门票、自由行、度假酒店、国内游、出境游等一站式旅游服务。
支付密码是用户的最后一道防线，支付密码被改，金额就容易被人任意消费，危害巨大。
首先随便拿个账号登录：
http://fx.lvmama.com/user/index.do yangfan yangfan123
在这里，这个账号是被我猜解出来的。

然后看到里面有500块钱，然后想着帮你们测下，看看金额支付方面是否有什么问题。然后悲剧就发生了。
首先，我们点击预存款账户，重新设置：

由于这里是他自己设置的支付密码，我们当然不知道，点击忘记密码。

然后填好新支付密码，然后点击获取手机验证码：

然后抓包：

可以看到他的手机，然后改成自己的手机：

然后成功收到验证码：

然后利用收到的验证码重置支付密码。然后支付密码修改成功。

我已经成功的把该账号的支付密码修改为 1234567 麻烦，帮他改过来下。
另外说下。。你们的手机好像也存在这个问题，就是说，手机好像也可以任意更换。也是发送验证码到自己手机就可以了。