验证码漏洞全解析：七类攻击手法揭秘-CSDN博客

本文链接：https://blog.csdn.net/Cyyyy_g/article/details/148347847

Crushftp 认证绕过漏洞（CVE-2025-2825）

Apache Pinot 认证绕过漏洞（CVE-2024-56325）

一、验证码漏洞分类与攻击深度解析

1. 验证码可重用

漏洞类型：逻辑设计缺陷

攻击原理：

服务端未限制验证码使用次数，同一验证码可多次用于不同请求（如登录、修改密码）。攻击者通过截获首次有效验证码，重复提交请求绕过验证，配合暴力破解账号密码。

攻击流程：① 用户正常登录，服务端返回验证码V1与Session ID；

② 攻击者拦截请求，获取V1；

③ 多次重放包含V1的请求，暴力破解不同账号密码。

案例：乌云漏洞案例（wooyun-2016-0169672）：某系统登录验证码未限制使用次数，攻击者通过重放有效验证码，配合密码字典批量登录。

2. 验证码在客户端校验

漏洞类型：信任边界错误

攻击原理：

验证码生成或校验逻辑完全在前端（如浏览器 JavaScript）实现，服务端未参与验证。

攻击者可直接篡改前端代码或伪造验证结果（如修改is_verified=1参数），绕过真实验证。

攻击手法：① 打开浏览器开发者工具，修改 JavaScript 代码绕过校验；

② 抓包后删除验证码参数，或直接返回验证通过的虚假响应。

风险：服务端完全信任前端结果，攻击者无需接触真实验证码即可绕过。

3. 验证码可识别

漏洞类型：可用性与安全性失衡

攻击原理：验证码设计简单（如纯数字、低干扰文字、无扭曲变形），可被 OCR 工具、脚本或打码平台批量识别，突破 “区分人机” 的核心目标。

攻击工具链：① Python + Pytesseract 库识别文本验证码；

② 第三方打码平台（如 “超级鹰”）人工识别复杂图像；

③ 脚本循环提交识别结果，暴力破解。

案例：乌云案例（wooyun-2016-0194576）：某系统使用 4 位纯数字验证码，攻击者通过脚本识别后，1 小时内爆破 10 万次登录请求。

4. 空验证码绕过

漏洞类型：参数校验缺失

攻击原理：服务端未强制校验验证码参数，允许删除或提交空值。攻击者直接删除请求中的验证码字段（如captcha参数），服务端默认通过验证。

攻击验证：使用 Burp Suite 拦截登录请求，删除captcha参数后发送，若返回 “登录成功” 则存在漏洞。

案例：乌云案例（wooyun-2015-0155066）：某网站登录接口未校验验证码，攻击者直接提交账号密码成功登录。

5. 客户端可控标记绕过

漏洞类型：依赖不可信输入

攻击原理：

前端验证通过后设置标记（如is_verified=1），服务端仅校验该标记而非真实验证码。

攻击者通过抓包工具篡改标记参数（如将is_verified=0改为1），绕过验证。

攻击步骤：① 正常输入错误验证码，抓包获取响应中的is_verified=0；

② 修改为is_verified=1，重新提交请求；

③ 服务端校验标记为真，允许操作。

案例：乌云案例（wooyun-2014-086716）：某支付接口依赖前端标记verify_status，攻击者篡改后绕过二次验证码。

6. 错误次数触发验证

漏洞类型：防御延迟生效

攻击原理：系统默认不显示验证码，仅在用户输入错误多次后（如 5 次）才触发。攻击者利用前期无防护阶段，快速尝试弱密码（如123456），提高暴力破解效率。

攻击效率：若允许 10 次错误尝试，攻击者可使用 10 个常见密码（如123456、admin）直接爆破，成功率较高。

7. 验证码可预测

漏洞类型：算法设计缺陷

攻击原理：验证码生成算法存在规律（如时间戳、固定前缀 + 递增数字），攻击者分析历史验证码后可推导后续值，无需实时破解。

攻击手法：① 记录多个历史验证码，分析格式（如YYYYMMDD+3位随机数）；② 编写脚本根据规律生成下一个验证码。

二、攻击手段与方式

1. 抓包与重放攻击

适用漏洞：验证码可重用、空验证码绕过、客户端标记绕过

工具：Burp Suite、Fiddler

操作步骤：① 使用 Burp 拦截登录请求，获取包含验证码的原始数据包；

② 重放数据包（验证码可重用场景）或删除验证码参数（空绕过场景）；

③ 修改前端标记参数（如is_verified=1）后重新提交。

2. 自动化脚本识别

适用漏洞：验证码可识别

工具链：

文本识别：Python + Pytesseract 库 + OpenCV 图像处理；

图像识别：第三方打码平台（如 “超级鹰” API）；

批量攻击：Python 脚本结合 Requests 库循环提交。

案例：通过脚本识别 4 位纯数字验证码，每秒发起 100 次登录请求。

3. 前端代码篡改

适用漏洞：验证码在客户端校验

操作步骤：① 打开浏览器开发者工具（F12），定位到验证码校验的 JavaScript 代码；

② 修改校验逻辑（如将if (code !== true)改为if (code === true)），强制通过验证；

③ 刷新页面使修改生效，直接提交请求。

4. 暴力破解结合逻辑绕过

适用漏洞：错误次数触发验证、验证码可重用

策略：

在触发验证码前（如前 3 次错误），使用常见密码字典快速尝试；

利用可重用验证码，单次获取验证码后循环尝试不同密码组合。

5. 算法逆向与预测

适用漏洞：验证码可预测

步骤： ① 记录至少 10 个历史验证码，分析格式（如时间戳后6位+随机2位）；

② 编写脚本模拟生成逻辑，预测下一个验证码（如当前时间戳取后6位+递增数字）；

③ 使用预测值直接提交请求。

三、漏洞类型总结表

漏洞类型	核心问题	典型攻击场景
逻辑设计缺陷	验证码可重用	重放攻击绕过登录验证
信任边界错误	客户端校验逻辑	篡改前端代码伪造验证结果
参数校验缺失	空验证码绕过	删除参数直接提交请求
依赖不可信输入	客户端标记篡改	抓包修改is_verified参数
算法设计缺陷	验证码可预测	逆向生成规律推导验证码
防御延迟生效	错误次数触发验证	前期无防护阶段暴力破解
可用性与安全性失衡	验证码可识别	脚本批量识别验证码