搜索

[16838] 2021-05-28_一个“登录框”引发的安全问题

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-05-28_一个“登录框”引发的安全问题 一 个 “ 登 录 框 ” 引 发 的 安 全 问 题 原 创   蜜 罐 小 明 哥   F r e e B u f   2 0 2 1 - 0 5 - 2 8 前 言 前 言 搞 安 全 的 小 伙 伴 只 有 一 个 登 录 框 你 都 能 测 试 哪 些 漏 洞 ？ 通 常 大 家 测 试 的 都 会 测 试 关 键 部 分 ， 为 了 有 更 好 的 测 试 效 果 ， 小 厂 会 提 供 给 你 用 户 名 密 码 ； 但 是 一 些 比 较 重 要 的 企 业 ， 而 这 个 环 境 却 是 正 式 环 境 ， 里 面 存 放 着 一 些 数 据 不 希 望 被 你 看 到 的 时 候 ， 是 不 会 提 供 给 给 你 登 录 账 号 的 。 这 个 时 候 ， 考 验 你 基 础 知 识 是 否 扎 实 的 时 刻 来 临 了 。 用 户 名 枚 举 用 户 名 枚 举 漏 洞 描 述 ： 漏 洞 描 述 ： 存 在 于 系 统 登 录 页 面 ， 利 用 登 陆 时 输 入 系 统 存 在 的 用 户 名 错 误 密 码 和 不 存 在 的 用 户 名 错 误 密 码 ， 返 回 不 同 的 出 错 信 息 可 枚 举 出 系 统 中 存 在 的 账 号 信 息 。 测 试 方 法 ： 测 试 方 法 ： 找 到 网 站 或 者 w e b 系 统 登 录 页 面 。 在 w e b 系 统 登 录 页 面 ， 通 过 手 工 方 式 ， 利 用 系 统 中 存 在 的 用 户 名 和 不 存 在 的 用 户 名 ， 密 码 随 意 ， 尝 试 登 录 ， 查 看 其 回 显 内 容 。 例 如 ： 输 入 存 在 的 用 户 名 a d m i n ， 回 显 如 下 ： 密 码 错 误 ； 输 入 不 存 在 的 用 户 名 t e s t ， 回 显 如 下 ： 用 户 不 存 在 。 示 例 ： 风 险 分 析 ： 风 险 分 析 ： 攻 击 者 根 据 W e b 应 用 程 序 返 回 的 上 述 提 示 信 息 即 可 枚 举 系 统 中 存 在 的 登 录 用 户 名 ， 然 后 针 对 枚 举 出 来 的 登 录 用 户 名 ， 对 其 密 码 进 行 暴 力 破 解 。 修 复 方 案 ： 修 复 方 案 ： 建 议 对 网 站 登 录 页 面 的 判 断 回 显 信 息 修 改 为 一 致 ： 用 户 名 或 密 码 错 误 。 弱 口 令 弱 口 令 漏 洞 描 述 ： 漏 洞 描 述 ： 认 证 登 录 环 节 存 在 弱 口 令
测 试 方 法 ： 测 试 方 法 ： 1 . 找 到 网 站 登 录 页 面 ， 尝 试 输 入 常 见 弱 口 令 ； 2 . 根 据 网 站 所 使 用 的 第 三 方 组 件 ， 寻 找 特 定 的 弱 口 令 或 默 认 口 令 进 行 登 录 。 示 例 ： 通 常 很 多 厂 商 后 台 默 认 账 户 为 “ a d m i n ” ， 密 码 为 ” a d m i n ” 或 “ 1 2 3 4 5 6 ” ， 大 家 可 以 通 过 暴 力 破 解 去 尝 试 风 险 分 析 ： 风 险 分 析 ： 攻 击 者 可 利 用 互 联 网 公 开 的 常 见 弱 口 令 尝 试 登 录 管 理 后 台 ， 对 网 站 造 成 一 定 的 影 响 。 修 复 方 案 ： 修 复 方 案 ： 禁 止 使 用 弱 口 令 ， 口 令 应 满 足 一 定 的 复 杂 度 。 空 口 令 空 口 令 漏 洞 描 述 ： 漏 洞 描 述 ： 认 证 登 录 环 节 允 许 空 口 令 测 试 方 法 ： 测 试 方 法 ： 找 到 网 站 登 录 页 面 ， 尝 试 输 入 用 用 户 名 ， 密 码 为 空 进 行 登 录 。 示 例 ： 暂 无 风 险 分 析 ： 风 险 分 析 ： 攻 击 者 可 利 用 该 漏 洞 登 录 网 站 后 台 ， 操 作 敏 感 数 据 ， 甚 至 上 传 w e b s h e l l ， 从 而 控 制 服 务 器 。 修 复 方 案 ： 修 复 方 案 ： 判 断 输 入 密 码 是 否 为 空 ， 禁 止 空 口 令 登 录 。 登 录 认 证 绕 过 登 录 认 证 绕 过 漏 洞 描 述 ： 漏 洞 描 述 ： 能 够 绕 过 应 用 认 证 ， 直 接 登 录 系 统 。 测 试 方 法 ： 测 试 方 法 ： 绕 过 认 证 主 要 有 几 下 几 种 途 径 ： 1 . 网 络 嗅 探 。 通 过 网 络 嗅 探 工 具 探 测 局 域 网 中 传 输 的 明 文 用 户 名 和 密 码 。 有 些 应 用 程 序 采 用 G E T 方 式 发 送 登 录 请 求 ， 可 能 导 致 G E T 的 U R L 请 求 内 容 被 缓 存 在 代 理 服 务 器 活 着 W e b 服 务 器 端 ， 导 致 用 户 名 和 密 码 泄 漏 。 2 . 默 认 或 可 猜 测 的 用 户 账 号 。 大 多 数 开 源 软 件 或 商 业 软 件 提 供 的 基 于 网 络 配 置 和 管 理 的 接 口 ， 通 常 都 会 有 一 些 默 认 的 用 户 名 和 密 码 。 例 如 ， 一 般 默 认 的 用 户 名 是 ： a d m i n ， a d m i n i s t r a t o r 、 r o o t 、 s y s t e m 、 g u e s t 等 ， 而 默 认 的 秘 密 吗 也 根 据 硬 件 和 软 件 的 不 同 而 不 同 ， 可 尝 试 一 下 这 些 密 码 ： p a s s w o r d 、 a d m i n 、 g u e s t 、 1 2 3 4 5 等 。 3 . 直 接 访 问 内 部 U R L 。 使 用 S p i d e r 工 具 找 到 含 有 a d m i n 、 m a n a g e r 、 a d m i n i s t r a t o r 、 l o g i n 等 词 语 的 路 径 ， 尝 试 使 用 普 通 的 登 录 用 户 访 问 这 些 U R L 。 从 而 获 得 管 理 员 的 权 限 。 4 . 修 改 参 数 绕 过 认 证 。 应 用 程 序 可 能 会 会 使 用 一 个 参 数 或 一 个 隐 藏 的 域 表 示 一 个 用 户 是 否 经 过 验 证 了 ， 通 过
修 改 这 些 参 数 ， 从 而 被 认 为 是 已 经 认 证 过 的 用 户 。 例 如 ： h t t p : / / w w w . x x x . x o m / u s e r i n f o . j s p ? a u t h e n t i c a t e d = n o ， 通 过 修 改 a u t h e n t i c a t e d 参 数 为 y e s ， h t t p : / / w w w . x x x . x o m / u s e r i n f o . j s p ? a u t h e n t i c a t e d = y e s ， 然 后 就 可 以 通 过 认 证 ， 直 接 访 问 内 部 页 面 。 5 . 可 猜 测 的 S e s s i o n I D 。 利 用 规 律 ， 猜 测 到 一 个 有 效 的 S e s s i o n I D ， 然 后 通 过 修 改 请 求 中 的 S e s s i o n I D 为 一 个 预 测 到 的 有 效 的 S e s s i o n I D ， 从 而 冒 充 会 话 的 真 正 拥 有 着 ， 绕 过 认 证 环 节 。 6 . 注 入 问 题 。 利 用 万 能 密 码 登 录 系 统 ， 绕 过 认 证 环 节 。 7 . C S R F 。 利 用 C S R F 漏 洞 在 用 户 不 知 情 的 情 况 下 ， 利 用 用 户 的 会 话 进 行 敏 感 操 作 ， 从 而 绕 过 认 证 。 示 例 ： A p a c h e   s h i r o   c v e - 2 0 2 0 - 1 7 5 2 3   A p a c h e   s h i r o 较 新 的 登 录 认 证 绕 过 ， 大 概 的 方 式 就 是 使 用 空 字 符 绕 过 w w w . x x x . c o m / a d m i n / % 2 0 / w w w . x x x . c o m / a d m i n / % 2 e / 示 例 用 户 名 密 码 可 以 乱 写 点 击 登 陆 按 钮 同 时 使 用 抓 包 工 具 进 行 数 据 包 拦 截 将 数 据 包 返 回 至 当 前 页 面 ， 修 改 c o d e 值
登 录 成 功 风 险 分 析 ： 风 险 分 析 ： 如 果 应 用 程 序 在 认 证 上 没 有 做 好 ， 可 以 导 致 恶 意 用 户 或 者 攻 击 者 绕 过 认 证 ， 访 问 内 部 资 源 ， 这 类 漏 洞 通 过 防 火 墙 和 入 侵 检 测 系 统 很 难 预 防 。 修 复 方 案 ： 修 复 方 案 ： 可 从 以 下 几 个 方 面 预 防 认 证 绕 过 ： 1 . 对 于 每 一 个 访 问 的 U R L 都 首 先 检 查 是 否 已 经 登 录 （ 不 需 要 认 证 的 U R L 除 外 ， 例 如 ， 帮 助 页 面 、 免 费 下 载 页
面 等 ） ， 如 果 没 有 登 录 ， 则 跳 转 到 登 录 页 面 。 对 于 已 经 登 录 的 用 户 ， 在 退 出 的 时 候 或 者 在 会 话 很 长 时 间 处 于 i d l e 状 态 的 时 候 ， 需 要 保 证 原 来 的 会 话 被 正 确 的 销 毁 并 且 不 会 再 被 重 利 用 。 2 . 规 定 密 码 强 度 要 求 ， 防 止 密 码 被 猜 测 到 。 3 . 对 于 用 户 是 否 已 经 认 证 ， 禁 止 依 赖 客 户 端 传 过 来 的 参 数 标 识 ， 而 应 将 是 否 登 录 的 标 识 保 存 在 服 务 器 端 的 会 话 中 ， 当 接 收 到 该 会 话 的 请 求 时 ， 从 会 话 保 存 的 状 态 判 断 是 否 登 录 。 4 . 对 于 S e s s i o n I D 一 定 要 使 用 安 全 的 随 机 数 生 成 算 法 ， 使 得 S e s s i o n I D 不 可 预 测 。 5 . 对 于 暴 力 破 解 攻 击 ， 建 议 在 尝 试 3 次 左 右 失 败 之 后 ， 使 用 图 形 验 证 码 。 存 在 暴 力 破 解 存 在 暴 力 破 解 漏 洞 描 述 ： 漏 洞 描 述 ： 暴 力 破 解 的 基 本 思 想 是 根 据 题 目 的 部 分 条 件 确 定 答 案 的 大 致 范 围 ， 并 在 此 范 围 内 对 所 有 可 能 的 情 况 逐 一 验 证 ， 直 到 全 部 情 况 验 证 完 毕 。 若 某 个 情 况 验 证 符 合 题 目 的 全 部 条 件 ， 则 为 本 问 题 的 一 个 解 ； 若 全 部 情 况 验 证 后 都 不 符 合 题 目 的 全 部 条 件 ， 则 本 题 无 解 。 常 常 存 在 于 网 站 的 登 录 系 统 中 ， 通 过 对 已 知 的 管 理 员 用 户 名 ， 进 行 对 其 登 录 口 令 的 大 量 尝 试 。 测 试 方 法 ： 测 试 方 法 ： 找 到 网 站 登 录 页 面 。 利 用 b u r p 对 登 录 页 面 进 行 抓 包 ， 将 其 发 送 到 I n t r u d e r , 并 设 置 其 密 码 参 数 ， 如 p w d = 为 变 量 ， 添 加 p a y l o a d （ 字 典 ） ， 进 行 攻 击 ， 攻 击 过 程 中 查 看 其 返 回 的 字 节 长 度 ， 来 判 断 是 否 成 功 。 一 般 情 况 下 ， 暴 力 破 解 有 三 种 形 式 ： 固 定 账 号 对 密 码 暴 力 破 解 。 在 得 知 账 号 具 有 规 律 性 ， 或 者 通 过 某 种 方 式 获 取 到 大 量 账 号 的 前 提 下 ， 固 定 密 码 对 账 号 暴 力 破 解 。 使 用 网 上 流 传 的 账 号 密 码 库 进 行 撞 库 攻 击 。 示 例 ： 风 险 分 析 ： 风 险 分 析 ： 攻 击 者 一 般 会 使 用 自 动 化 脚 本 组 合 出 常 见 的 用 户 名 和 密 码 ， 即 字 典 ， 再 结 合 软 件 b u r p s u i t e 的 i n t r u d e r 功 能 进 行 暴 力 破 解 。 修 复 方 案 ： 修 复 方 案 ： 防 止 暴 力 攻 击 的 一 些 方 法 如 下 ：
1 、 账 户 锁 定 账 户 锁 定 是 很 有 效 的 方 法 ， 因 为 暴 力 破 解 程 序 在 5 - 6 次 的 探 测 中 猜 出 密 码 的 可 能 性 很 小 。 但 是 同 时 也 拒 绝 了 正 常 用 户 的 使 用 。 如 果 攻 击 者 的 探 测 是 建 立 在 用 户 名 探 测 成 功 之 后 的 行 为 ， 那 么 会 造 成 严 重 的 拒 绝 服 务 攻 击 。 对 于 对 大 量 用 户 名 只 用 一 个 密 码 的 探 测 攻 击 账 户 锁 定 无 效 。 如 果 对 已 经 锁 定 的 账 户 并 不 返 回 任 何 信 息 ， 可 能 迷 惑 攻 击 者 。 2 、 返 回 信 息 如 果 不 管 结 果 如 何 都 返 回 成 功 的 信 息 ， 破 解 软 件 就 会 停 止 攻 击 。 但 是 对 人 来 说 很 快 就 会 被 识 破 。 3 、 页 面 跳 转 产 生 登 录 错 的 的 时 候 就 跳 到 另 一 个 页 面 要 求 重 新 登 录 。 比 如 1 2 6 和 校 内 网 都 是 这 样 做 的 。 局 限 性 在 于 不 能 总 是 跳 转 页 面 ， 一 般 只 在 第 一 次 错 误 的 时 候 跳 转 ， 但 是 第 一 次 之 后 又 可 以 继 续 暴 力 探 测 了 。 4 、 适 当 的 延 时 检 查 密 码 的 时 候 适 当 的 插 入 一 些 暂 停 ， 可 以 减 缓 攻 击 ， 但 是 可 能 对 用 户 造 成 一 定 的 影 响 。 5 、 封 锁 多 次 登 录 的 I P 地 址 这 种 方 法 也 是 有 缺 点 的 ， 因 为 攻 击 者 可 以 定 时 更 换 自 己 的 I P 。 6 、 验 证 码 验 证 码 是 阻 止 暴 力 攻 击 的 好 方 法 ， 但 设 计 不 好 的 验 证 码 是 可 以 绕 过 的 ， 而 且 对 于 特 定 目 标 的 手 工 探 测 来 说 验 证 码 是 没 有 作 用 的 。 图 形 验 证 码 不 失 效 图 形 验 证 码 不 失 效 漏 洞 描 述 ： 漏 洞 描 述 ： 有 些 网 站 登 录 框 存 在 图 形 验 证 码 ， 防 止 暴 力 破 解 攻 击 ， 但 是 正 常 的 逻 辑 是 前 端 输 入 验 证 码 之 后 进 行 校 验 图 形 验 证 码 的 正 确 性 ， 而 后 若 是 为 真 则 进 行 登 录 操 作 ， 为 假 则 返 回 验 证 码 输 入 错 误 ， 而 使 用 一 次 的 验 证 码 应 该 立 即 失 效 。 然 而 有 些 网 站 验 证 码 可 能 是 可 控 的 ， 输 入 一 些 特 殊 字 符 可 能 就 能 打 到 欺 骗 服 务 器 或 验 证 码 使 用 一 次 之 后 并 没 有 及 时 刷 新 （ 所 谓 的 验 证 码 可 以 被 自 动 识 别 这 个 问 题 ， 我 个 人 觉 得 没 啥 卵 用 ， 就 不 写 了 ） 测 试 方 法 ： 测 试 方 法 ： 输 入 用 户 名 、 密 码 、 验 证 码 后 ， 点 击 登 陆 按 钮 同 时 将 数 据 包 使 用 b u r p s u i t e 进 行 拦 截 ， 并 使 用 R e p e a t e r 模 块 或 I n t r u d e r 模 块 进 行 数 据 重 放 ， 重 新 发 送 五 次 观 察 页 面 变 化 ， 是 否 会 提 示 验 证 码 输 入 错 误 等 信 息 示 例 ：
此 登 录 功 能 时 存 在 图 形 验 证 码 的 ， 在 输 入 了 正 确 的 图 形 验 证 码 之 后 进 行 数 据 重 放 ， 发 现 图 形 验 证 码 没 有 做 到 及 时 失 效 风 险 分 析 ： 风 险 分 析 ： 图 形 验 证 码 一 般 是 防 止 使 用 程 序 恶 意 注 册 、 暴 力 破 解 用 户 名 密 码 或 者 批 量 发 帖 而 设 置 的 。 在 页 面 初 始 化 时 服 务 器 向 页 面 发 送 一 个 随 机 字 符 串 ， 同 时 在 S e s s i o n 里 也 保 存 一 份 ， 当 用 户 提 交 时 将 随 机 数 一 起 p o s t 到 后 台 ， 通 过 与 S e s s i o n 中 保 存 的 值 对 比 ， 如 果 不 相 同 ， 则 有 可 能 是 恶 意 攻 击 。 修 复 方 案 ： 修 复 方 案 ： 1 、 系 统 在 开 发 时 注 意 验 证 识 别 后 销 毁 s e s s i o n 中 的 验 证 码 。 2 、 限 制 用 户 提 交 的 验 证 码 不 能 为 空 3 、 判 断 提 交 的 验 证 码 与 服 务 器 上 存 储 的 是 否 一 致 4 、 禁 止 将 验 证 码 明 文 信 息 发 送 至 客 户 端 短 信 验 证 码 绕 过 短 信 验 证 码 绕 过 漏 洞 描 述 ： 漏 洞 描 述 ： 一 些 网 站 使 用 手 机 短 信 登 录 ， 短 信 验 证 码 可 被 绕 过 ， 执 行 其 他 操 作 。 测 试 方 法 ： 测 试 方 法 ： 1 . 请 求 发 送 短 信 ， 填 写 任 意 验 证 码 ， 然 后 提 交 其 他 操 作 请 求 ， 将 验 证 码 参 数 置 空 或 删 除 ， 测 试 是 否 可 绕 过 检 测 ； 2 . 尝 试 特 权 验 证 码 ， 如 0 0 0 0 0 0 、 1 1 1 1 1 1 等 ； 3 . 同 一 个 短 信 验 证 码 是 否 能 使 用 多 次 ； 示 例 ： 正 确 的 逻 辑 应 当 是 ， 短 信 验 证 码 获 取 后 ， 服 务 器 校 验 短 信 验 证 码 的 来 源 以 及 有 效 性 ， 使 用 一 次 后 应 该 立 即 失 效 。 但 是 我 遇 到 的 这 个 就 是 使 用 验 证 码 登 录 后 ， 注 销 用 户 登 录 后 再 一 次 使 用 验 证 码 发 现 依 然 登 陆 成 功 ， 也 就 是 短 信 验 证 码 没 有 被 删 除 风 险 分 析 ： 风 险 分 析 ：
修 改 ／ 重 置 密 码 、 交 易 操 作 等 功 能 通 常 需 要 短 信 验 证 码 ， 若 验 证 码 可 绕 过 ， 攻 击 者 可 利 用 该 漏 洞 进 行 重 置 他 人 密 码 或 转 账 等 危 险 操 作 。 修 复 方 案 ： 修 复 方 案 ： 1 . 若 存 在 特 权 验 证 码 ， 建 议 将 其 删 除 ； 2 . 应 用 服 务 端 应 严 格 校 验 验 证 码 参 数 是 否 为 空 ， 格 式 是 否 正 确 ； 3 . 关 键 操 作 每 提 交 一 次 请 求 ， 应 发 送 新 的 短 信 验 证 码 ， 并 且 不 可 继 续 使 用 旧 的 验 证 码 。 短 信 验 证 码 可 暴 力 破 解 短 信 验 证 码 可 暴 力 破 解 漏 洞 描 述 ： 漏 洞 描 述 ： 短 信 验 证 码 位 数 太 短 或 有 效 期 太 长 导 致 可 暴 力 破 解 测 试 方 法 ： 测 试 方 法 ： 点 击 发 送 短 信 验 证 码 ， 输 入 任 意 验 证 码 ， 提 交 请 求 ， 使 用 b u r p s u i t e 拦 截 请 求 ， 在 i n t r u d e r 模 块 设 置 验 证 码 参 数 为 枚 举 变 量 ， 这 是 p a y l o a d 类 型 为 n u m b e r s ， 对 验 证 码 进 行 暴 力 破 解 。 示 例 ： 这 里 的 短 信 验 证 码 可 被 暴 力 破 解 ， 是 因 为 并 没 有 设 置 短 信 验 证 码 使 用 错 误 几 次 后 失 效 ， 故 可 被 暴 力 破 解 风 险 分 析 ： 风 险 分 析 ： 修 改 ／ 重 置 密 码 、 交 易 操 作 等 功 能 通 常 需 要 短 信 验 证 码 ， 若 验 证 码 可 暴 力 破 解 ， 攻 击 者 可 利 用 该 漏 洞 进 行 重 置 他 人 密 码 或 转 账 等 危 险 操 作 。 修 复 方 案 ： 修 复 方 案 ： 1 . 短 信 验 证 码 不 少 于 6 位 ； 2 . 有 效 期 不 超 过 1 分 钟 ； 3 . 验 证 码 错 误 次 数 超 过 上 限 应 采 取 账 户 锁 定 策 略 。 短 信 攻 击 短 信 攻 击 漏 洞 描 述 ： 漏 洞 描 述 ： 短 信 攻 击 时 常 见 的 一 种 攻 击 ， 攻 击 者 通 过 网 站 页 面 中 所 提 供 的 发 送 短 信 验 证 码 的 功 能 处 ， 通 过 对 其 发 送 数 据 包 的 获 取 后 ， 进 行 重 放 ， 如 果 服 务 器 短 信 平 台 未 做 校 验 的 情 况 时 ， 系 统 会 一 直 去 发 送 短 信 ， 这 样 就 造 成 了 短 信 轰 炸 的 漏 洞 。 测 试 方 法 ： 测 试 方 法 ： 1 、 手 工 找 到 有 关 网 站 注 册 页 面 ， 认 证 页 面 ， 是 否 具 有 短 信 发 送 页 面 ， 如 果 有 ， 则 进 行 下 一 步 。
2 、 通 过 利 用 b u r p 或 者 其 它 抓 包 截 断 工 具 ， 抓 取 发 送 验 证 码 的 数 据 包 ， 并 且 进 行 重 放 攻 击 ， 查 看 手 机 是 否 在 短 时 间 内 连 续 收 到 1 0 条 以 上 短 信 ， 如 果 收 到 大 量 短 信 ， 则 说 明 存 在 该 漏 洞 。 示 例 ： 点 击 获 取 验 证 码 同 时 拦 截 数 据 包 使 用 b u r p s u i t e 进 行 数 据 重 放
风 险 分 析 ： 风 险 分 析 ： 攻 击 者 通 过 填 写 他 人 的 手 机 号 ， 使 用 软 件 b u r p s u i t e 的 i n t r u d e r 功 能 重 复 提 交 发 送 短 信 的 请 求 包 ， 达 到 短 时 间 内 向 他 人 的 手 机 上 发 送 大 量 垃 圾 短 信 的 目 的 。 修 复 方 案 ： 修 复 方 案 ： 1 、 合 理 配 置 后 台 短 信 服 务 器 的 功 能 ， 对 于 同 一 手 机 号 码 ， 发 送 次 数 不 超 过 3 - 5 次 ， 并 且 可 对 发 送 的 时 间 间 隔 做 限 制 。 2 、 页 面 前 台 代 码 编 写 时 ， 加 入 禁 止 针 对 同 一 手 机 号 进 行 的 次 数 大 于 N 次 的 发 送 ， 或 者 在 页 面 中 加 入 验 证 码 功 能 ， 并 且 限 制 发 送 的 时 间 间 隔 。 恶 意 锁 定 问 题 恶 意 锁 定 问 题 漏 洞 描 述 ： 漏 洞 描 述 ： 通 过 不 断 的 输 入 错 误 的 密 码 可 恶 意 锁 定 任 意 账 号 测 试 方 法 ： 测 试 方 法 ： 针 对 测 试 账 户 ， 不 断 输 入 错 误 的 密 码 ， 直 至 将 其 锁 定 示 例 ： 风 险 分 析 ： 风 险 分 析 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理