验证码安全

所用环境：Pikachu

1.验证码安全介绍及分类

在安全领域，验证码主要分为两大类：操作验证码和身份验证码。 验证码的主要作用：防止恶意暴力破解、防止恶意注册、刷票、论坛灌水等一切脚本行为。 验证码的分类：手机短信、手机语音、通用文字、加减法、非通用文字、非通用文字加背景随机加拉 伸、无感知、滑动拼图、文字点选、图标点选、推理拼图、短信上行、语序点选、空间推理、语音验证 等等。

2.验证码绕过（on client）

当未输入验证码的时候，提示“请输入验证码”：

当输入错误验证码的时候提示“验证码输入错误”：

当输入正确验证码的时候提示“用户名或者密码不存在”：

我们尝试截取登录处数据包，修改密码并多次重放之后发现该验证码依然有效，说明可能存在验证码可 以重复使用的情况：

于是进行暴力破解，破解出密码为123456：

查看前端代码：

跟进createCode()函数：

发现造成该验证码重复使用的原因是：验证码是在前端利用js语句生成和刷新的，我们通过截取数据包 进行重放绕过了客户端刷新验证码的机制。

3.验证码绕过（on server）

截取登录处的数据包：

输入错误的验证码返回“验证码错误”：

输入正确的验证码返回“用户名或者密码不存在”：

username or password is not exists～

多次更换密码重放之后，服务端仍然返回“用户名或者密码不存在”，证明该验证码依然可以重复使用：

于是仍然可以进行暴力破解，破解出密码为admin/123456：

查看源代码：app/vul/burteforce/bf_server.php

造成该验证码重复使用的原因是：验证码在验证之后没有销毁$_SESSION['vcode']，造成了重复使用。