搜索

[28382] 2020-06-30_浅谈短信验证码漏洞

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-06-30_浅谈短信验证码漏洞 浅 谈 短 信 验 证 码 漏 洞 爱 吃 猫 的 闲 鱼   O t s 安 全   2 0 2 0 - 0 6 - 3 0 转 载 转 载 : 先 知 社 区 先 知 社 区   作 者 ： 爱 吃 猫 的 闲 鱼 作 者 ： 爱 吃 猫 的 闲 鱼 前 言 前 言 在 日 常 的 授 权 测 试 中 ， 很 大 一 部 分 只 有 一 个 登 录 界 面 ， 在 这 个 登 录 界 面 其 实 可 以 测 试 的 东 西 有 很 多 ， 比 如 用 户 名 枚 举 ， 弱 密 码 ， 验 证 码 ， 找 回 密 码 等 等 一 系 列 问 题 。 现 在 的 网 站 为 了 更 好 的 用 户 体 验 ， 免 去 大 家 登 录 网 站 都 要 注 册 的 问 题 ， 通 常 都 采 用 了 发 送 短 信 验 证 码 的 方 式 来 登 录 ， 一 方 面 是 便 捷 ， 另 一 方 面 也 算 是 采 用 的 动 态 密 码 ， 安 全 性 比 较 高 ， 那 随 之 而 来 的 验 证 码 的 安 全 性 问 题 也 就 显 现 出 来 了 。 一 一   短 信 轰 炸 漏 洞 短 信 轰 炸 漏 洞 短 信 轰 炸 问 题 其 实 是 最 容 易 想 到 的 ， 当 然 对 于 短 信 的 轰 炸 问 题 ， 还 要 分 几 类 情 况 看 待 1 . 1   无 任 何 限 制 的 短 信 轰 炸 无 任 何 限 制 的 短 信 轰 炸 这 种 应 该 是 在 短 信 轰 炸 中 最 简 单 粗 暴 的 一 种 方 式 吧 ， 没 有 任 何 限 制 只 需 要 通 过 b u r p s u i t e 去 重 放 数 据 包 即 可 ， 然 后 就 可 以 达 到 消 耗 目 标 网 站 的 短 信 数 量 以 及 对 手 机 号 码 拥 有 者 造 成 困 扰
1 . 2   有 验 证 码 的 短 信 轰 炸 有 验 证 码 的 短 信 轰 炸 这 个 相 对 于 无 任 何 限 制 的 短 信 轰 炸 是 做 了 限 制 的 ， 加 上 了 验 证 码 。 如 果 验 证 码 可 以 重 放 的 话 那 还 是 可 以 归 类 到 无 任 何 限 制 的 短 信 轰 炸 中 。 如 果 验 证 码 不 能 重 放 并 且 也 不 能 通 过 手 段 提 前 预 知 ， 我 最 常 采 用 的 方 法 便 是 p y t h o n 的 s e l e n i u m 模 块 配 合 验 证 码 识 别 工 具 去 模 拟 浏 览 器 请 求 登 录 ， 这 种 方 式 不 用 考 虑 复 杂 的 交 互 情 况 ， 完 全 交 给 浏 览 器 去 实 现 ， 准 确 度 取 决 于 你 验 证 码 识 别 工 具 的 准 确 度 。 网 上 有 很 多 识 图 工 具 ， 比 如 各 大 厂 商 的 O C R 等 等 ， 或 者 是 g i t h u b 上 各 位 大 佬 的 基 于 机 器 学 习 的 验 证 码 识 别 工 具 等 等 i m p o r t   r e q u e s t s i m p o r t   t i m e i m p o r t   h a s h l i b f r o m   s e l e n i u m   i m p o r t   w e b d r i v e r f r o m   P I L   i m p o r t   I m a g e f r o m   b s 4   i m p o r t   B e a u t i f u l S o u p h e a d e r s   =   {         " U s e r - A g e n t " :   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 ;   r v : 5 6 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 5 6 . 0 " ,         " A c c e p t " :   " * / * " ,         " A c c e p t - L a n g u a g e " :   " z h - C N , z h ; q = 0 . 8 , e n - U S ; q = 0 . 5 , e n ; q = 0 . 3 " ,         " X - F o r w a r d e d - F o r " :   " 1 3 7 . 0 . 0 . 2 " ,         " C o n t e n t - T y p e " :   " a p p l i c a t i o n / j s o n ; c h a r s e t = u t f - 8 " } p r o x i e s   =   {         " h t t p " :   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 " ,         " h t t p s " :   " h t t p s : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 " } d e f   y a n z h e n g m a ( ) :         u r l   =   ' h t t p : / / 1 2 7 . 0 . 0 . 1 : 7 7 7 9 '         f i l e s   =   o p e n ( " E : / i m g / t 1 . p n g " ,   ' r b ' )         r   =   r e q u e s t s . p o s t ( u r l ,   p r o x i e s = p r o x i e s ,   d a t a = f i l e s )         r e t u r n   r . t e x t d e f   s e n d P h o n e ( b r o w e r ,   p h ) :         b r o w e r . g e t ( ' h t t p s : / / x x x . x x x . x x x ' )         p h o n e   =   b r o w e r . f i n d _ e l e m e n t _ b y _ x p a t h ( " / / * [ @ i d = " m o b i l e " ] " )         p h o n e . s e n d _ k e y s ( p h )         p a t h   =   ' E : / / i m g / / t . p n g '         i m g p a t h   =   ' E : / i m g / t 1 . p n g '         b r o w e r . g e t _ s c r e e n s h o t _ a s _ f i l e ( p a t h )         i m   =   I m a g e . o p e n ( p a t h )         b o x   =   ( 1 1 5 7 , 3 2 0 , 1 2 7 4 , 3 8 0 )         r e g i o n   =   i m . c r o p ( b o x )         r e g i o n . s a v e ( i m g p a t h )         s u b m i t   =   b r o w e r . f i n d _ e l e m e n t _ b y _ x p a t h ( " / / * [ @ i d = " s e n d S m s " ] " )         i m a g e   =   b r o w e r . f i n d _ e l e m e n t _ b y _ x p a t h ( " / / * [ @ i d = " v e r i f y C o d e " ] " )         y z m   =   y a n z h e n g m a ( )         i m a g e . s e n d _ k e y s ( y z m )         s u b m i t . c l i c k ( )         t i m e . s l e e p ( 5 ) d e f   m a i n ( ) :         b r o w e r   =   w e b d r i v e r . C h r o m e ( )         f o r   i   i n   r a n g e ( 0 , 1 0 ) :                 s e n d P h o n e ( b r o w e r ,   " 1 1 1 1 1 1 1 1 1 1 1 " ) i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         m a i n ( ) 先 通 过 屏 幕 截 屏 获 取 整 个 图 片 ， 然 后 再 去 截 取 验 证 码 ， 最 后 通 过 验 证 码 识 别 器 识 别 出 验 证 码 后 发 送 到 浏 览 器 触 发 短 信 轰 炸 漏 洞 ， 该
漏 洞 的 危 害 性 主 要 取 决 于 验 证 码 识 别 的 难 易 程 度 以 及 对 发 送 短 信 次 数 的 限 制 。 现 在 基 本 主 流 的 网 站 在 手 机 验 证 码 的 时 候 必 须 要 进 行 一 步 验 证 ， 最 主 要 的 是 验 证 码 验 证 ， 当 然 现 在 还 有 滑 块 验 证 之 类 的 。 有 兴 趣 的 可 以 去 尝 试 通 过 模 拟 浏 览 器 登 录 破 解 滑 块 验 证 码 。 1 . 3   特 殊 字 符 的 填 充 特 殊 字 符 的 填 充 这 种 问 题 应 该 算 是 对 限 制 手 机 发 送 短 信 的 一 种 绕 过 方 式 ， 他 的 逻 辑 应 该 是 这 样 的 ， 用 户 输 入 手 机 号 — — > 后 端 判 断 该 手 机 号 是 否 在 3 0 秒 或 者 6 0 秒 内 请 求 过 — — > 如 果 没 有 ， 判 断 发 送 过 来 的 手 机 号 是 够 是 1 1 位 的 纯 数 字 ， 如 果 不 是 ， 去 掉 非 数 字 字 符 — — > 和 数 据 库 中 的 手 机 号 比 对 ， 是 够 存 在 于 数 据 库 中 ， 如 果 存 在 那 么 向 该 手 机 发 送 验 证 码 。 看 到 这 个 逻 辑 你 想 到 了 啥 ， 如 果 我 们 一 开 始 输 入 的 是 1 1 1 1 1 1 1 1 1 1 1 这 个 号 码 ， 下 次 你 空 格 + 1 1 1 1 1 1 1 1 1 1 1 岂 不 是 就 同 样 给 1 1 1 1 1 1 1 1 1 1 1 发 送 验 证 码 ， 在 下 次 加 两 个 空 格 或 者 别 的 字 符 1 . 4   短 信 发 送 间 隔 太 短 短 信 发 送 间 隔 太 短 有 的 网 站 设 定 的 短 信 发 送 间 隔 是 3 0 秒 ， 时 间 间 隔 太 短 ， 可 以 找 一 批 手 机 号 ， 控 制 请 求 间 隔 ， 保 证 每 个 手 机 号 两 个 发 送 间 隔 大 于 3 0 秒 即 可 ， 同 样 可 以 造 成 短 信 轰 炸 漏 洞
1 . 5   i p 限 制 绕 过 限 制 绕 过 该 漏 洞 的 主 要 原 因 是 限 制 的 是 I P 并 不 是 手 机 号 ， 简 单 粗 暴 的 方 式 增 加 代 理 池 再 去 爆 破 ， 但 这 样 成 本 太 高 ， 那 这 个 漏 洞 的 危 害 性 就 比 较 小 了 。 那 么 如 果 服 务 端 对 于 I P 的 校 验 可 以 在 前 端 进 行 伪 造 绕 过 I P 限 制 那 这 个 危 害 相 对 来 说 就 比 较 大 了 。 这 里 推 荐 一 个 I P 伪 造 的 b u r p s u i t e 插 件   h t t p s : / / g i t h u b . c o m / T h e K i n g O f D u c k / B u r p F a k e I P / h t t p 协 议 中 的 I P 伪 造 不 同 于 T C P / I P 协 议 ， 在 实 现 正 常 的 T C P / I P   双 方 通 信 情 况 下 ， 是 无 法 伪 造 来 源   I P   的 ， 也 就 是 说 ， 在   T C P / I P   协 议 中 ， 可 以 伪 造 数 据 包 来 源 I P ， 但 这 会 让 发 送 出 去 的 数 据 包 有 去 无 回 ， 无 法 实 现 正 常 的 通 信 。 H T T P   是 一 个 应 用 层 协 议 ， 基 于 请 求 / 响 应 模 型 。 客 户 端 （ 往 往 是 浏 览 器 ） 请 求 与 服 务 器 端 响 应 一 一 对 应 。 服 务 器 的 响 应 格 式 也 是 类 似 的 由 响 应 头 信 息 和 响 应 正 文 构 成 。 如 果 服 务 器 通 过 r e q u e s t 中 的   x - f o r w a r d e d - f o r   和   c l i e n t - i p   等 来 获 取 客 户 端 的 i p ， 那 么 客 户 端 可 以 伪 造   C l i e n t - I p ,   X - F o r w a r d - F o r 等 内 容 欺 骗 程 序 ， 达 到 " 伪 造 I P " 的 目 的 。

1 . 6   图 片 验 证 码 可 置 为 空 图 片 验 证 码 可 置 为 空 如 果 你 前 端 不 传 递 验 证 码 的 话 后 端 即 不 验 证 验 证 码 ， 删 除 验 证 码 即 可 触 发 短 信 炸 弹 漏 洞 ， 其 实 还 有 删 除 c o o k i e 等 操 作 。 不 光 出 现 在 短 信 轰 炸 处 ， 比 如 找 回 密 码 处 等 同 样 存 在 这 样 的 问 题 形 如   h t t p s : / / x x x . x x x . x x x / l o g i n . p h p ? a c t i o n = s e n d & m o b i l e = 1 1 1 1 1 1 1 1 1 1 1 & s e n d _ c o d e = u n d e f i n e d ， 二 二   验 证 码 可 以 枚 举 验 证 码 可 以 枚 举 这 也 是 个 老 生 长 谈 的 问 题 ， 主 要 是 因 为 验 证 码 是 4 位 或 者 5 位 的 数 字 验 证 码 ， 并 且 验 证 码 的 过 期 时 间 很 长 造 成 的 。 尤 其 是 4 位 数 字 验 证 码 ， 只 要 枚 举 一 万 次 即 可 枚 举 出 正 确 的 验 证 码 ， 对 于 b u r p s u i t e 来 说 ， 在 没 有 限 制 的 情 况 下 请 求 1 万 次 的 时 间 应 该 在 1 0 分 钟 以 内 三 三   手 机 号 码 可 以 篡 改 手 机 号 码 可 以 篡 改 篡 改 接 收 验 证 码 的 手 机 号 ， 如 果 验 证 码 没 有 和 手 机 绑 定 就 可 以 进 行 一 系 列 高 危 操 作 ， 比 如 登 录 账 号 ， 任 意 更 改 密 码 呀 。 举 个 例 子 ， 在 找 回 密 码 处 在 给 手 机 发 送 验 证 码 时 ， 会 在 请 求 包 中 出 现 手 机 号 码 ， 可 以 篡 改 手 机 号 码 ， 但 是 系 统 默 认 还 是 在 找 回 密 码 第 一 步 中 输 入 的 用 户 名 ， 这 样 就 可 以 劫 持 验 证 码 ， 达 到 重 置 密 码 的 效 果 。
有 的 确 定 可 以 通 过 更 改 手 机 号 来 获 取 验 证 码 ， 但 是 无 法 通 过 校 验 ， 同 样 可 以 探 测 是 否 存 在 任 意 手 机 号 触 发 短 信 轰 炸 的 漏 洞 四 四   自 定 义 验 证 码 内 容 自 定 义 验 证 码 内 容 举 一 个 抖 音 海 外 版 的 例 子 ， 其 他 漏 洞 相 关 内 容 可 以 参 照 ( h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 2 2 4 9 6 3 . h t m l ) 在 T i k T o k 的 主 要 网 站 有 一 项 功 能 可 以 让 用 户 向 自 己 发 送 S M S 短 信 以 下 载 该 应 用 程 序 ， D O W N L O A D _ U R L 参 数 是 会 出 现 在 S M S 短 信 中 的 下 载 链 接 ， 所 以 只 要 篡 改 该 参 数 即 可 实 现 篡 改 下 载 链 接 来 进 行 钓 鱼 诈 骗 等 相 关 活 动

看 一 下 手 机 接 收 到 的 信 息
五 五   验 证 码 客 户 端 绕 过 验 证 码 客 户 端 绕 过 这 种 也 很 常 见 ， 你 点 击 发 送 验 证 码 ， 然 后 随 便 输 入 验 证 码 ， 然 后 更 改 返 回 包 中 的 相 关 值 即 可 实 现 验 证 码 绕 过 ， 但 经 过 这 些 年 的 洗 礼 ， 这 种 漏 洞 已 经 很 少 了 ， 至 少 大 厂 应 该 大 部 分 是 不 存 在 这 种 漏 洞 的 只 需 要 把 状 态 码 改 为 0 即 可 实 现 绕 过
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理