短信验证码之验证码回显

Posted 2021-01-15 eeee1

短信验证码之验证码回显

前序

　　验证码回显的安全问题主要出在研发人员关于账号安全体系的认识。存在一些逻辑问题导致。而由于意识问题，一处的逻辑问题，则可能会导致账号注册、密码找回等更加高危的风险。从而影响正常业务开展。正好朋友研发的校内商城需要上线，遂对其进行了一些测试。

关于测试内容

       测试的内容是某所大学，校内的便利商城。业务开展大概就是，代取快递，代打饭等业务(话说现在的某些大学生真的是有点懒了)

关于测试过程

商城是基于微信公众号展开研发的，所以测试过程中只能依靠手机+burp的形式进行。

 

Burp是之前都配置好的环境，我们直接抓包。

到个人界面这一块。

 

 

对绑定的手机号进行抓包处理。

 

 

可见repeater 的response直接就可以看见。

 

 

 

总结

       后端逻辑问题，攻击方法简单。危害性大，项目上线后将导致严重影响。