验证码及登录中的漏洞分析

进行这个整理，是因为在XXX项目的时候，发现登录模块的忘记密码功能，在验证用户身份的时候是通过手机验证码验证的。通过修改响应包的返回参数值，可以绕过验证，进入第三步的密码重置。还有最近测试的一个sso登录，也存在验证码问题。

之前的测试中也遇到过类似的验证码绕过的漏洞，所以对验证码绕过方法进行一个总结，以及关于登录模块可能会存在的逻辑漏洞进行一个小整理。

其实，会出现验证码的地方，也就是校验用户身份处，比如，登录、忘记密码、注册、绑定、活动领取、反馈处等。而登录模块中可能存在的逻辑漏洞，无非就是用户枚举、任意用户密码重置，当然认证绕过也是逻辑漏洞，这个我们暂且放在验证码里面。

绕过短信验证码的方法以及例子

通过修改响应包的返回值绕过

这种是用户端根据返回的值，来确定是否进行下一步。比如发送成功返回state的值是success，失败是false，然后客户端根据state的值，来确定下一步的动作。这样，我们可以通过修改响应包，绕过验证。

例1

比如忘记密码处：第二步中，对用户的身份进行短信验证，可通过修改响应包，将error换为ok即可绕过身份验证，到设置密码处。

例2

注册处，验证手机验证码处，通过修改响应包，或替换为自己的手机号，绕过验证码的限制，造成使用他人手机号进行注册。

例3

有些登录也存在类似的问题，随便输入账号密码，拦截返回的响应包，将包替换为A账号正确的登录返回的响应包（前提是，A账号的cookie是有效的），即可登录到A账号。这种也是客户端，根据响应包的值，来决定下一步动作。

服务端未对身份做校验

这种比较少，因为算是功能问题，在验证身份时，未对答案进行校验。就是随便输入，就能进入下一步。

例4

忘记密码处，第二步中，选择其他方式找回，通过密保找回，未对密保答案进行验证，随便输入答案，即可跳转到设置密码处。

验证码置空绕过验证

短信验证码处，随便输入其他，验证码错误，而置空却不校验，则可以通过置空绕过

例5

我的==>登陆==>短信验证码登陆登陆时抓包把code（验证码字段）值置为空，即可登陆任意账户

发送短信时，将手机号替换为自己的手机号获取验证码

当修改别人的信息时，需要短信认证时，在发送短信时，我们可以尝试，将手机号替换为自己的，来获取短信验证码。如果服务端只是检查验证码是否正确，而不是进行手机号和验证码匹配的话，或者只是匹配发送短信手机号和验证码，我们就可以绕过认证。

例6

忘记验证码，验证身份时，在发送短信时，拦截，将手机号替换为我们自己的，发送。然后再输入得到验证码，验证，如果此时只是验证码验证码是否正确，即可绕过。

但是，若验证发送手机号和验证码是否匹配时，我们可以在填好验证码，提交时，拦截，将手机号再次改为我们自己的，即可绕过。

允许一次给多个手机号发送短信，获取验证码

在给手机发送短信验证码时，比如phone=13211111111，我们同时向多个手机号发送短信，用逗号隔开，即phone=13211111111,13233333333，可发送成功。所有手机收到相同的验证码，后面在验证验证码时，如果可以匹配成功的话，即可绕过验证码。另外，这样可以向大量手机号发送，造成费用增加。

例7

注册处，在获取短信验证码时，抓包将mobilePhone的值改为多个手机号，并用逗号分隔，可成功多个手机号发送短信验证码。

短信验证码太短，爆破绕过

有的短信验证码位数太短，采用4为纯数字的短信验证码作为登录认证的凭证，这样若是没有对次数限制或存在图形验证码的话，就很容易采用工具进行爆破验证码登录。

例8

重置密码处根据短信验证码，是否正确来确定是否能修改成功，而且验证码是四位纯数字的，可以进行爆破。code=4935&mobile=18556530793&pwd=123456a

利用接口标记绕过短信限制

注册、忘记密码、修改密码处，均存在发送短信验证，可能会设置参数值的不同，来判断是执行什么样的功能。比如type=1是注册，type=2是忘记密码，type=3是修改密码等。我们可以通过修改参数值，来绕过一分钟内只发送一次限制，达到短信轰炸的目的。

例9

注册页面处，URL/public/getPhoneVerifyCodeWithCheckPicVerCode正常逻辑是验证图片验证码，正确后，再发送手机验证码。将请求修改为/public/getPhoneVerifyCode，从而绕过图片验证码的验证机制。

例10

注册页面处，发送短信验证码处，可以结合上例中的绕过图形验证码的机制，发现smsType的值，不同时，可以绕过180秒限制。可以遍历修改smsType的值，从而造成短信炸弹。

例11

仅有一分钟内不允许多次发送验证码限制，但是并未对图形验证码进行校验，可以通过甚至频率，使其，两分钟发送一次，同样可以造成短信/邮箱轰炸。

例12

绑定手机号处，正常的发送短信的URL是sendSMS4Mobile，尝试修改URL，是否存在其他发送接口。经过不断尝试，sendSMS接口同样可以发送短信。

利用空格绕过短信条数限制

通过在参数值的前面加上空格，进行绕过一天内发送次数的限制。比如，mobile=13211111111，一天可以发送10次，超过10次今天将不再发送，第二天才可以继续发送。但是，可以通过在手机号前面或后面加上空格又可以发送10次。比如，mobile= 13211111111，前面加个空格，就可以再次发送成功。