基本介绍
用户注册时一般会采用短信验证码的方式来对用户的身份进行验证,但是部分网站在进行验证时未严格的检查手机号码与短信验证码的一致性或者短信验证码使用4位数导致可以批量保利猜解导致任意用户注册
漏洞案例
在用户注册时短信验证码为4位纯数字,且图片验证码可重复使用,攻击者可以利用暴力猜解用户注册时的短信验证码实现任意用户注册,具体如下
成功爆破注册验证码,完成注册
修复建议
增强图形验证码的校验机制,设置短信验证码为6位数,有效时长为3分钟
用户注册时一般会采用短信验证码的方式来对用户的身份进行验证,但是部分网站在进行验证时未严格的检查手机号码与短信验证码的一致性或者短信验证码使用4位数导致可以批量保利猜解导致任意用户注册
在用户注册时短信验证码为4位纯数字,且图片验证码可重复使用,攻击者可以利用暴力猜解用户注册时的短信验证码实现任意用户注册,具体如下
成功爆破注册验证码,完成注册
增强图形验证码的校验机制,设置短信验证码为6位数,有效时长为3分钟