淺析一次任意用戶註冊漏洞挖掘過程

漏洞發現 輸入手機號，點擊發送驗證碼，發現驗證碼只有4位數字，我的經驗告訴我，此處有一定概率存在任意用戶註冊漏洞。 漏洞利用 輸入手機號，點擊發送驗證碼，再依次輸入驗證碼（此處隨便輸入，方便抓包）和密碼，用BurpSuit抓包，並嘗試驗證碼爆破。 最終成功註冊。 漏洞修復 1.驗證碼設置爲6位數。 2.對驗證碼校驗做限制，如輸錯5次則要求輸入圖片驗證碼。 3.對同一個手機號，只允許有限次的錯誤校驗

>>阅读原文<<