【联通官网及APP注册/登录安全分析报告】

置顶 已于 2024-05-09 12:39:12 修改
阅读量667 收藏 12
点赞数 20
分类专栏： 验证码接口安全评测系列 短信安全 短信防轰炸 文章标签： 深度学习 人工智能 python 安全漏洞 安全
于 2024-05-09 11:57:14 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46641057/article/details/138606914
版权

前言
由于网站注册入口容易被黑客攻击，存在如下安全问题：

  1. 暴力破解密码，造成用户信息泄露
  2. 短信盗刷的安全问题，影响业务及导致用户投诉
  3. 带来经济损失，尤其是后付费客户，风险巨大，造成亏损无底洞

所以大部分网站及App 都采取图形验证码或滑动验证码等交互解决方案， 但在机器学习能力提高的当下，连百度这样的大厂都遭受攻击导致点名批评， 图形验证及交互验证方式的安全性到底如何？ 请看具体分析

一、 联通PC 注册入口
简介：中国联合网络通信集团有限公司（简称“中国联通”）于2009年1月6日由原中国网通和原中国联通合并重组而成。

在这里插入图片描述
测试方法：
采用模拟器+OCR识别
在这里插入图片描述

测试报告：
采用传统的图形验证码方式，具体为4个英文,ocr 识别率在 95% 以上。
在这里插入图片描述
二、 联通App 端注册入口

在这里插入图片描述

在这里插入图片描述
报文抓取：
在这里插入图片描述
APP安全分析：
App端经过360加固, 采取RSA加密措施，经过脱壳后逆向出源码，手机号加密保护算法暴露,

在这里插入图片描述

加密算法复原后的算法
在这里插入图片描述

在这里插入图片描述

报文测试结果： (10条 )
在这里插入图片描述

四丶结语

联通作为通信行业的老大哥， 采用的老一代的图形验证码已经落伍了， 用户体验差，还容易被破解
App 端虽然采用了360加固， 但懂技术的都知道， 客户端无论如何都有可能被逆向，靠加固是否无法保证安全的，
脱壳后的算法就如同皇帝的新装，暴露在黑客面前。

很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。
比如：“ 需求这么赶，当然是先实现功能啊 ”，“ 业务量很小啦，系统就这么点人用，不怕的 ” ， “ 我们怎么会被盯上呢，不可能的 ”等等。

有一些理由虽然有道理，但是该来的总是会来的。前期欠下来的债，总是要还的。越早还，问题就越小，损失就越低。

所以大家在安全方面还是要重视。（血淋淋的栗子！）#安全短信#

戳这里→康康你手机号在过多少网站注册过！！！

谷歌图形验证码在AI 面前已经形同虚设，所以谷歌宣布退出验证码服务， 那么当所有的图形验证码都被破解时，大家又该如何做好防御呢？

>>相关阅读
《腾讯防水墙滑动拼图验证码》
《百度旋转图片验证码》
《网易易盾滑动拼图验证码》
《顶象区域面积点选验证码》
《顶象滑动拼图验证码》
《极验滑动拼图验证码》
《使用深度学习来破解 captcha 验证码》
《验证码终结者-基于CNN+BLSTM+CTC的训练部署套件》

风控牛
关注
  • 20
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
博客
【易捷海购-注册安全分析报告】
07-05 1425
易捷国际作为中石化易捷旗下专业跨境电商平台，大概是因为和阿里有战略合作层面的关系， 所以在选的不是常见的类似极验、腾讯等滑动拼图类产品， 阿里的产品由于过度重视用户体验， 简单的滑动条特别，模拟器只需要单轴的模拟轨道就可以通过， 说明阿里对轨迹的校验比较宽松，之前的分析显示，阿里主要是靠模拟器识别，如果这道关过了，就没有其它的防护措施了。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的。
博客
【东奥会计-注册安全分析报告】
07-05 1066
东奥会计作为老牌的会计专业在线培训机构，背靠北大这颗大树，技术实力雄厚，但在验证产品方面，不是自己研发而是采用第三方的阿里的滑动条， 阿里的产品由于过度重视用户体验， 简单的滑动条特别，模拟器只需要单轴的模拟轨道就可以通过， 说明阿里对轨迹的校验比较宽松，之前的分析显示，阿里主要是靠模拟器识别，如果这道关过了，就没有其它的防护措施了。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的。
博客
【 VIPKID-注册安全分析报告】
07-04 543
vipkid 作为外教培训头部机构，早期获得创新工场的融资， 属于是科技含量较高的企业， 采用的是通俗的滑动验证产品， 在一定程度上提高了用户体验， 不过随着图形识别技术及机器学习能力的提升，所以在网上破解的文章和教学视频也是大量存在，并且经过验证的确有效， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的。
博客
【12321骚扰电话举报受理中心-短信验证安全分析报告】
07-04 404
12321骚扰电话举报受理中心，作为工信部下属的电信业务管理机构， 采用的还是老一代的图形验证码已经落伍了， 用户体验一般，容易被破解， 本身就是受理用户被骚扰的业务， 如果12321本身被黑客攻击， 造成短信大面积骚扰用户，将会对老百姓形成骚扰，影响声誉。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的” ， “我们怎么会被盯上呢，不可能的”等等。有一些理由虽然有道理，但是该来的总是会来的。
博客
【黑马程序员-注册安全分析报告】
06-20 1403
黑马程序员主要做技术培训为主要业务的网站，应该有不少技术专家， 对机器识别应该有所了解， 但采用的是通俗的滑动验证产品， 该产品稳定并且市场占有率很高， 在一定程度上提高了用户体验， 但安全性在机器学习的今天， 已经无法应对攻击了，并且正是由于该产品通俗， 所以在网上破解的文章和教学视频也是大量存在，并且经过验证滑动产品很容易被破解， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。
博客
【 东方航空-注册安全分析报告】
06-19 1724
东方航空作为总部在上海的知名的航空公司，历史悠久， 采用的是通俗的滑动验证产品， 在一定程度上提高了用户体验， 不过随着图形识别技术及机器学习能力的提升，所以在网上破解的文章和教学视频也是大量存在，并且经过验证的确有效， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的” ， “我们怎么会被盯上呢，不可能的。
博客
【凤凰房产-注册安全分析报告-缺少轨迹的滑动条】
06-18 608
凤凰房产作为凤凰集团旗下的子公司，应该还是有一定科技实力的互联网知名媒体， 采用的是新研发的滑动条， 有胜过没，应该是参考了滑动条的代表是阿里， 可惜只学到表面，连滑动轨迹的数据都没采集，明明白白的样子工程， 用户体验一般，容易被破解， 一旦被国际黑客发起攻击，将会对老百姓形成骚扰，影响凤凰集团的品牌声誉。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的” ， “我们怎么会被盯上呢，不可能的。
博客
【短信宝_注册安全分析报告】
06-14 922
短信宝作为传统的为客户提供短信验证码的服务商， 采用的是通俗的滑动验证产品， 在一定程度上提高了用户体验， 不过随着图形识别技术及机器学习能力的提升，所以在网上破解的文章和教学视频也是大量存在，并且经过验证的确有效， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的” ， “我们怎么会被盯上呢，不可能的”等等。
博客
【荷包支付-注册安全分析报告】
06-14 429
荷包支付作为支付行业的翘楚，依托移动老大哥的资源，技术实力雄厚， 人才济济，采用的是通俗的滑动验证产品， 在一定程度上提高了用户体验， 不过随着图形识别技术及机器学习能力的提升，所以在网上破解的文章和教学视频也是大量存在，并且经过验证的确有效， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的” ， “
博客
【我是产品经理_注册安全分析报告】
06-13 1594
我是产品经理，作为老牌互联网专业网站，尤其是注重产品方面的网站， 应该特别注重用户体验，但还是采用的是通俗的滑动验证产品， 在一定程度上提高了用户体验， 不过随着图形识别技术及机器学习能力的提升，所以在网上破解的文章和教学视频也是大量存在，并且经过验证的确有效， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“
博客
【小雇APP-注册安全分析报告-严重安全隐患】
06-13 926
小雇APP是一款新推出的为自由职业者服务的APP，存在严重的安全漏洞， 此次的安全分析发现，很多的APP 开发者关注功能，但忽略安全方面的， 稍有经验的APP 开发者都会采用对称加密， 再采用APP加固， 虽然加固及加密措施也同样面临脱壳和逆向， 但这是一般的高级做法。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的” ， “我们怎么会被盯上呢，不可能的”等等。
博客
【汽车之家注册_登录安全分析报告】
05-29 1691
汽车之家作为汽车资讯行业的知名网站， 采用的却是通俗的滑动验证产品， 该产品稳定并且市场占有率很高， 在一定程度上提高了用户体验， 但安全性在机器学习的今天， 已经无法应对攻击了，并且正是由于该产品通俗， 所以在网上破解的文章和教学视频也是大量存在，并且经过验证滑动产品很容易被破解， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“
博客
【中国政府网官网注册_登录安全分析报告】
05-29 317
中华人民共和国中央人民政府门户网站（简称“中国政府网”） ，作为中国最权威的权利机构， 采用的还是老一代的图形验证码已经落伍了， 用户体验一般，容易被破解， 一旦被国际黑客发起攻击，将会对老百姓形成骚扰，影响声誉。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“业务量很小啦，系统就这么点人用，不怕的” ， “我们怎么会被盯上呢，不可能的”等等。有一些理由虽然有道理，但是该来的总是会来的。前期欠下来的债，总是要还的。
博客
【巧匠课堂注册_登录安全分析报告】
05-23 1234
巧匠课堂作为行业实力雄厚的高科技企业， 采用的是通俗的滑动验证产品， 该产品稳定并且市场占有率很高， 在一定程度上提高了用户体验， 但安全性在机器学习的今天， 已经无法应对攻击了，并且正是由于该产品通俗， 所以在网上破解的文章和教学视频也是大量存在，并且经过验证滑动产品很容易被破解， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“
博客
DdddOcr 带带弟弟OCR通用验证码和 JAVA调用
05-23 1398
本文主要参考 DdddOcr 发布的最新版本启动服务端， 以及JAVA 如何和服务端对接。DdddOcr，其由作者与kerlomz共同合作完成，通过大批量生成随机数据后进行深度网络训练，本身并非针对任何一家验证码厂商而制作，本库使用效果完全靠玄学，可能可以识别，可能不能识别。
博客
【创蓝云智注册_登录安全分析报告】
05-19 1141
创蓝云智作为行业实力雄厚的高科技企业， 采用的是通俗的滑动验证产品， 该产品稳定并且市场占有率很高， 在一定程度上提高了用户体验， 但安全性在机器学习的今天， 已经无法应对攻击了，并且正是由于该产品通俗， 所以在网上破解的文章和教学视频也是大量存在，并且经过验证滑动产品很容易被破解， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“
博客
【容联云通讯注册_登录安全分析报告-Ajax泄漏滑动距离导致安全隐患】
05-18 907
容联云通讯致力于为全球客户提供领先的智能通讯与营销科技服务，应该是通讯行业的独角兽，并且在美国上市，据了解，容联云通讯在早期使用的网易易盾的滑动验证码，但本次测评时，不知道为何换成自己研发的了， 1 缺钱 ，2 觉得第三方的不安全?不管哪种原因，总之是换成自己的了，并且出现这么严重的低级问题！在业界面前被打脸， 对比起自己作为高科技企业的地位！很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“需求这么赶，当然是先实现功能啊”，“
博客
【中石化易派客注册_登录安全分析报告-Ajax泄漏验证码导致安全隐患】
05-18 1059
中石化易派客作为顺应“互联网+”国家发展战略,根植于中国石化的坚实产业链、采购管理实践及信息化新成果,探索铸就的“互联网+供应链”电商平台，但本次测评时，图形验证码在后台直接输出， 这就明白的告诉攻击者，答案已经给你了，不需要进行图形识别不过，前端的水平的确可以， 在前端完成了超级无法的加干扰线、文字扭曲等展示，可惜最终如皇帝的新装， 等于没有。总之作为实力雄厚的国有大企业，出现这么严重的低级问题！在业界面前被打脸， 对不起自己的能源行业巨头地位！
博客
【联通支付注册_登录安全分析报告】
05-12 1067
联通支付作为支付行业的翘楚，依托联通老大哥的资源，技术实力雄厚， 人才济济，和联通是独立运营的， 有别于联通 还在用的老一代的图形验证码，联通支付在吸取了同行滑动验证码的经验后，自己研发了独特风格的那个验证码， 从逆向代码来看， 不仅借鉴了同行的技术原理，还在防抓取上下了功夫，前端利用 canvs 将后台返回的背景大图和滑动小图融合在一起，图片取出比较特殊，得用JS 注入方式获取，
博客
【滑动、点选等交互验证和人机识别对抗升级？下一代验证方式能保证用户体验吗？】
05-12 811
从键盘输入图形验证的1代验证方式，到交互验证的二代验证方式，可以说是为难用户的历史，最大的弊端就是采用图形验防识别技术 ，提高了机器识别的难度，但同样为难了用户。由于机器学习能力的提高， 机器能识别图形的能力已经超过了人类，比如一代图形验证，即使增加干扰， 真人输入成功率极低，但机器训练后可以超过 99%。二代由于刚出现的滑动方式简单，吸引了不少用户，

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值