【漏洞挖掘】——147、短信验证码复用测试

基本介绍

在网站的登录或评论等页面，如果验证码认证成功后没有将session及时清空将会导致验证码首次认证成功之后可重复使用，测试时可以抓取携带验证码的数据包重复提交来查看是否提交成功

测试过程

攻击者填写投诉建议输入页面验证码，抓取提交的数据包，使用发包工具对数据包进行重复提交，然后查看投诉建议页面是否成功提交了多个投诉信息

漏洞案例

Step 1：登录系统并使用短信验证码登录

Step 2：发现可以多次使用验证码进行登录操作，验证码使用过后不失效，且可以多次复用

修复建议

对验证码时效性进行检验，验证码只允许使用一次