搜索

[13874] 2019-03-16_基于Web页面验证码机制漏洞的检测

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2019-03-16_基于Web页面验证码机制漏洞的检测 基 于 W e b 页 面 验 证 码 机 制 漏 洞 的 检 测 S a t a n X   F r e e B u f   2 0 1 9 - 0 3 - 1 6 * 声 明 ： 本 篇 文 章 仅 供 渗 透 测 试 参 考 ， 严 禁 用 于 非 法 用 途 。 声 明 ： 本 篇 文 章 仅 供 渗 透 测 试 参 考 ， 严 禁 用 于 非 法 用 途 。 在 当 今 互 联 网 上 ， 每 个 用 户 或 多 或 少 都 在 部 分 网 站 上 注 册 过 一 些 帐 号 ， 当 这 些 帐 号 涉 及 到 金 钱 或 者 利 益 的 时 在 当 今 互 联 网 上 ， 每 个 用 户 或 多 或 少 都 在 部 分 网 站 上 注 册 过 一 些 帐 号 ， 当 这 些 帐 号 涉 及 到 金 钱 或 者 利 益 的 时 候 ， 帐 号 的 安 全 就 是 一 个 非 常 值 得 重 视 的 问 题 ， 因 此 帐 号 的 安 全 是 各 个 厂 商 所 非 常 关 注 的 一 个 点 。 但 是 依 然 会 候 ， 帐 号 的 安 全 就 是 一 个 非 常 值 得 重 视 的 问 题 ， 因 此 帐 号 的 安 全 是 各 个 厂 商 所 非 常 关 注 的 一 个 点 。 但 是 依 然 会 存 在 一 些 厂 商 在 身 份 验 证 这 一 块 上 存 在 着 漏 洞 ， 并 不 是 厂 商 不 注 重 这 个 问 题 ， 只 是 在 代 码 层 的 验 证 过 程 中 的 逻 存 在 一 些 厂 商 在 身 份 验 证 这 一 块 上 存 在 着 漏 洞 ， 并 不 是 厂 商 不 注 重 这 个 问 题 ， 只 是 在 代 码 层 的 验 证 过 程 中 的 逻 辑 出 现 了 一 些 差 异 ， 往 往 这 些 逻 辑 漏 洞 利 用 起 来 比 较 容 易 。 辑 出 现 了 一 些 差 异 ， 往 往 这 些 逻 辑 漏 洞 利 用 起 来 比 较 容 易 。 一 、 不 可 靠 的 前 端 校 验 一 、 不 可 靠 的 前 端 校 验 在 现 实 环 境 中 ， 会 有 许 多 的 网 站 他 们 没 有 严 格 进 行 身 份 校 验 ， 他 们 往 往 是 通 过 依 靠 帐 号 密 码 发 送 后 回 传 的 状 态 码 来 判 断 用 户 身 份 是 否 正 确 ， 这 就 暴 露 出 了 很 大 的 漏 洞 ， 这 种 漏 洞 利 用 起 来 就 相 当 的 容 易 ， 往 往 只 需 要 一 个 安 全 界 的 神 器 B U R P   就 可 以 完 成 身 份 验 证 的 绕 过 ， 在 登 录 的 时 候 输 入 正 确 的 账 户 以 及 随 意 的 密 码 ， 将 报 文 拦 截 下 来 ， 然 后 选 择   b u r p 里 面 的 拦 截 返 回 包 的 功 能 ， 捕 捉 返 回 的 状 态 码 。
将 返 回 包 中 的 状 态 码 修 改 为 正 常 登 录 的 状 态 码 ， 当 然 这 里 的 状 态 码 不 一 定 都 是   0   和   1   这 种 ， 各 种 状 态 码 都 有 可 能 存 在 ， 那 么 我 们 怎 么 样 判 断 正 确 的 状 态 码 是 什 么 呢 ？ 这 里 我 们 就 需 要 自 己 手 动 注 册 一 个 用 户 ， 然 后 进 行 正 常 登 录 ， 并 且 抓 取 返 回 的 状 态 码 ， 当 你 发 现 发 回 的 报 文 中 ， 仅 仅 只 存 在 状 态 码 ， 并 没 有 其 他   s e t - c o o k i e   或 者   t o c k e n   等 信 息 的 时 候 ， 那 么 这 个 登 录 界 面 就 有 极 大 的 可 能 性 存 在 这 种 漏 洞 。 这 是 比 较 致 命 的 一 种 漏 洞 ， 那 么 你 可 能 就 会 有 其 他 的 问 题 了 ， 即 使 他 存 在 了 这 种 漏 洞 ， 但 是 我 们 不 太 可 能 拥 有 其 他 大 量 的 帐 号 ， 这 个 漏 洞 的 危 害 不 就 没 什 么 用 了 码 ？ 这 就 是 我 接 下 来 要 说 的 问 题 。 二 、 遍 历 手 机 号 二 、 遍 历 手 机 号 现 在 大 多 数 的 网 站 都 存 在 着 手 机 号 注 册 的 这 一 个 功 能 ， 一 般 来 说 同 一 个 手 机 号 只 能 注 册 一 个 帐 号 ， 所 以 手 机 号 也 是 能 作 为 帐 号 ， 这 就 是 能 利 用 的 一 个 点 ， 当 手 机 号 能 成 为 帐 号 的 时 候 ， 那 么 之 前 所 存 在 的 疑 问 就 解 决 了 一 半 ， 既 然 知 道 手 机 是 可 以 用 来 登 录 的 帐 号 ， 那 么 如 何 来 获 得 这 些 手 机 号 呢 ？ 这 个 问 题 其 实 是 一 个 非 常 好 的 问 题 ， 对 于 手 机 号 来 说 ， 一 共 有   1 1   位 数 ， 要 想 胡 乱 的 猜 测 一 个 手 机 号 是 否 在 这 个 平 台 上 注 册 过 ， 一 次 性 猜 中 的 概 率 是 微 乎 其 微 ， 但 是 有 的 网 站 的 忘 记 密 码 这 一 功 能 就 存 在 利 用 的 方 法 （ 不 过 这 种 漏 洞 厂 商 大 多 数 是 忽 略 的 ） ， 但 是 我 认 为 他 的 危 害 性 还 是 有 的 。 在 我 们 忘 记 密 码 的 时 候 输 入 手 机 号 码 ， 发 送 手 机 验 证 码 的 时 候 ， 部 分 网 站 都 会 先 查 询 这 个 手 机 号 是 否 在 这 个 网 站 上 注 册 过 ， 要 是 没 有 则 会 提 示 号 码 不 存 在 ， 存 在 则 发 送 短 信 。 那 么 可 以 使 用 这 一 个 逻 辑 来 进 行 用 户 手 机 号 遍 历 。 顺 带 提 一 下 手 机 号 码 可 以 使 用 手 机 号 码 字 典 生 成 器 来 生 成 ， 然 后 用 来 遍 历 。
如 图 所 示 ， 用 户 不 存 在 则 是 另 外 的 信 息 。 我 们 只 需 根 据   l e n g t h   长 度 来 辨 别 ， 也 可 以 自 己 写   p y   脚 本 来 遍 历 保 存 注 册 用 户 。 这 一 个 点 可 以 获 取 到 大 量 的 用 户 手 机 号 。 三 、 可 爆 破 的 手 机 验 证 码 三 、 可 爆 破 的 手 机 验 证 码 前 面 介 绍 了 前 端 校 验 绕 过 的 方 法 以 及 用 户 手 机 号 获 取 的 方 式 ， 接 下 来 来 讲 解 一 下 手 机 验 证 码 的 问 题 。 我 放 一 张 思 维 导 图 来 供 大 家 参 考 手 机 验 证 码 存 在 的 位 置 可 能 有 三 个 点 ： 登 录 、 注 册 、 密 码 找 回 这 三 个 点 。 其 中 注 册 这 个 点 的 危 害 相 对 较 小 ， 除 非 找 到 一 个 可 以 批 量 注 册 帐 号 的 点 。 那 么 危 害 较 大 的 就 剩 下 登 录 和 密 码 找 回 了 ， 实 际 这 两 个 点 的 原 理 是 一 样 的 ， 只 不 过 利 用 的 环 境 有 所 不 同 。 目 前 登 录 时 候 使 用 手 机 验 证 码 登 录 的 网 站 数 量 不 是 占 很 大 的 百 分 比 ， 本 文 就 以 找 回 密 码 这 块 来 说 明 。 我 们 在 测 试 之 前 首 先 要 进 行 判 断 的 时 候 他 的 手 机 短 信 验 证 码 的 长 度 、 时 效 以 及 页 面 是 否 存 在 有 比 较 难 的 图 片 验 证 码 ， 也 就 是 难 以 用   p y t h o n   的 库 直 接 识 别 的 图 片 验 证 码 （ 识 别 率 低 于   5 0 % ） 。 这 是 我 们 首 先 要 注 意 的 ， 其 次 提 交 一 次 表 单 ， 抓 包 来 看 看 ， 是 否 存 在 有 前 端 加 密 ， 或 者   s i g n   等 。 我 以 手 机 验 证 码 长 度 为   4   位 和   6   位 来 分 类 。
第 一 类 ： 第 一 类 ： 4   位 手 机 验 证 码 位 手 机 验 证 码 当 我 们 发 现 手 机 验 证 码 长 度 为   4   位 的 时 候 ， 时 效 为   5   分 钟 左 右 ， 并 且 没 有 什 么 复 杂 前 端 加 密 或 者   s i g n   和 复 杂 的 图 片 验 证 码 的 时 候 ， 那 么 恭 喜 你 ， 你 可 能 找 到 了 一 个 可 以 爆 破 出 验 证 码 的 点 ， 这 种 漏 洞 虽 然 是 爆 破 ， 但 是 他 利 用 所 花 费 的 时 间 确 实 非 常 低 的 ， 通 常 可 以 在 很 短 的 时 间 内 重 置 或 者 登 录 一 个 手 机 号 。 这 对 厂 商 来 说 就 是 一 个 高 危 漏 洞 ， 相 信 他 会 给 你 不 错 的 报 酬 。 上 面 的 这 种 属 于 较 为 简 单 的 漏 洞 ， 笔 者 在 前 段 时 间 测 试 的 时 候 发 现 了 带 有   s i g n   标 记 的   4   位 验 证 码 ， 这 种 的 爆 破 的 难 度 就 有 所 提 升 了 ， 他 的   s i g n   是 根 据 当 前 的 时 间 戳 以 及 手 机 号 验 证 码 等 信 息 进 行 加 密 后 生 成 的 ， 要 想 去 破 解 这 个 加 密 算 法 ， 是 不 太 现 实 的 。 于 是 笔 者 就 使 用 了 一 种 骚 思 路 ， 可 能 各 位 安 全 界 的 大 佬 们 也 用 过 ， 那 就 是   p y t h o n   的 s e l e n i u m   库 来 模 拟 浏 览 器 自 动 化 点 击 测 试 ， 但 是 这 个 就 需 要 自 己 去 根 据 网 站 的 实 际 情 况 以 及 窗 口 位 置 来 编 写 脚 本 。 关 于   s e l e n i u m   的 提 供 一 个 学 习 链 接 。 第 二 类 ： 第 二 类 ： 6   位 手 机 验 证 码 位 手 机 验 证 码 通 常 来 说   6   位 的 验 证 码 ， 3 0   分 钟 的 时 效 是 一 个 挺 安 全 的 设 计 ， 因 为 在   3 0   分 钟 内 想 跑 完   1 0 0 W   条 数 据 的 难 度 还 是 挺 大 ， 并 且 网 站 通 常 会 根 据 发 包 速 率 来 进 行 限 制 ， 一 旦 你 的 发 包 速 率 突 破 设 定 ， 你 将 会 被   4 0 3 ， 也 就 是 你 的   I P   会 被 封 禁 一 段 时 间 ， 有 这 些 设 置 的 验 证 码 是 安 全 的 ， 但 是 如 果 说 时 效 在   1   小 时 甚 至 更 长 ， 并 且 不 限 制   I P   的 发 包 速 率 了 话 ， 那 么 利 用 也 是 可 以 利 用 的 ， 只 不 过 利 用 的 成 本 过 高 ， 所 以 基 本 不 考 虑 。 因 此 在 导 图 中 写 到 基 本 不 不 去 考 虑 。 四 、 现 实 环 境 下 的 漏 洞 案 例 思 路 以 及 分 析 四 、 现 实 环 境 下 的 漏 洞 案 例 思 路 以 及 分 析 接 下 来 给 大 家 带 来 一 个 真 实 的 漏 洞 案 例 ， 也 是 我 本 人 所 挖 掘 到 的 一 个 高 危 漏 洞 在 登 陆 界 面 ， 由 于 图 片 验 证 码 长 期 有 效 ， 所 以 猜 测 可 以 爆 破 。
通 过 两 次 提 交 发 现 图 片 验 证 码 在 一 定 时 间 内 是 不 会 发 生 变 化 的 ， 尽 管 已 经 经 过 了 一 次 校 验 。 因 为 查 看   j s   发 现 验 证 码 是 由 手 机 验 证 码 经 过   s h a 2 5 6   后 从 第 六 位 开 始 取   4   位 收 到 的 验 证 码 ， 测 试 时 候 输 入 的 验 证 码 为   1 6 0 2 证 明 了 这 个 加 密 算 法 ， 于 是 利 用 脚 本 生 成 了   0 0 0 0 - 9 9 9 9   的 加 密 后 的 字 典 用 来 爆 破 。 在 爆 破 过 程 中 发 现 ， 验 证 码 的 时 效   1   分 钟 左 右 ， 并 不 足 以 完 成 爆 破 。 于 是 就 换 了 另 外 一 种 思 路 ， 既 然 通 过 爆 破 是 没 有 办 法 完 成 验 证 码 的 限 制 ， 则 想 到 了 程 序 员 在 编 写 代 码 的 时 候 他 会 不 会 犯 一 种 错 误 ， 猜 想 他 是 否 会 将 过 期 后 的 验 证 码 重 置 为 一 串 特 定 的 字 符 。 既 然 有 了 这 种 猜 想 ， 那 么 就 肯 定 需 要 来 进 行 一 波 验 证 ， 首 先 根 据 他 的 加 密 算 法 发 现 他 的 是   s h a 2 5 6 ， 也 就 是 每 一 位 验 证 码 数 据 只 会 在   0 - f   之 间 生 成 ， 于 是 生 成 了 一 个   0 0 0 0 - f f f f   的 字 典 ， 来 进 行 了 一 波 爆 破 ， 就 如 猜 想 的 一 样 ， 爆 破 出 一 个 意 外 的 数 值 ， 当 然 并 不 是 在 第 一 次 爆 破 过 程 中 发 现 的 ， 第 一 次 可 能 是 一 个 意 外 ， 于 是 我 便 借 用 了 别 人 的 手 机 进 行 了 几 次 尝 试 后 ， 发 现 这 个 数 值 是 固 定 的 ， 那 么 这 个 漏 洞 就 证 明 成 立 的 了 。
这 样 就 挖 掘 出 了 一 个 任 意 登 录 帐 号 的 漏 洞 ， 刚 好 这 个 网 站 又 存 在 如 之 前 所 说 的 手 机 号 遍 历 的 问 题 ， 于 是 结 合 这 两 个 点 所 产 生 的 结 果 就 是 可 以 登 录 任 意 用 户 。 当 然 关 于 挖 掘 到 这 方 面 的 漏 洞 不 止 一 个 ， 但 是 碍 于 厂 商 修 复 尚 未 完 成 不 宜 公 开 其 他 漏 洞 分 析 ： 对 于 这 个 漏 洞 点 的 发 现 其 实 是 因 为 当 时 测 试 时 候 的 突 发 奇 想 ， 本 身 这 个 漏 洞 前 端   s h a 2 5 6   加 密 截 取   4   位 这 个 算 法 不 认 真 找 都 不 容 易 发 现 ， 单 单 是 这 一 个 点 就 能 拦 住 许 多 想 爆 破 的 人 ， 验 证 码 本 身 是 为   0 0 0 0 - 9 9 9 9   的 纯 数 字 ， 很 难 联 想 到 是 从   s h a 2 5 6   中 截 取 的 字 符 串 ， 但 是 当 你 绕 过 这 个 问 题 的 时 候 ， 验 证 码 的 时 效 性 就 又 成 为 了 你 的 下 一 个 问 题 ， 笔 者 在 挖 掘 出 这 个 特 殊 字 符 串 的 时 候 也 是 有 点 吃 惊 的 ， 毕 竟 这 个 想 法 是 我 在 挖 掘 的 时 候 的 突 发 奇 想 ， 也 就 是 脑 子 一 热 冒 出 来 的 想 法 。 所 以 当 你 在 挖 掘 的 时 候 被 一 个 点 困 住 的 时 候 ， 不 要 死 磕 ， 可 以 发 散 一 下 思 维 说 不 定 就 能 想 到 设 计 者 在 设 计 的 时 候 所 可 能 犯 下 的 错 误 ， 4 2 9 9   这 个 数 字 在 爆 破 出 来 后 我 对 原 先 加 密 算 法 的 字 典 里 进 行 了 一 波 搜 索 ， 发 现 并 不 存 在 4 2 9 9   这 个 数 值 的 ， 可 能 设 计 者 当 初 在 设 计 的 时 候 认 为   4 2 9 9   并   2   不 属 于 任 何   0 0 0 0 - 9 9 9 9   加 密 后 的 数 值 ， 以 为 这 么 设 计 不 会 产 生 问 题 。 其 实 漏 洞 挖 掘 本 身 就 是 一 个 三 分 实 力 七 分 运 气 的 事 ， 本 着 常 心 肯 定 会 挖 掘 出 的 。 所 以 提 升 自 己 的 能 力 、 改 善 自 己 的 心 态 将 会 成 为 你 挖 掘 漏 洞 的 时 候 的 一 大 利 器 。 * 本 文 作 者 ： 本 文 作 者 ： S a t a n X ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理