記一次電商漏洞的挖掘經歷

最近正在學習挖漏洞，今天實踐一下，結果還真有收穫。

通常電商網站都有一些常見的漏洞，包括驗證碼回顯，訂單金額修改，任意密碼重置，短信轟炸等等。在這裏，我就講一講我挖到的驗證碼回顯和短信轟炸漏洞。

驗證碼回顯通常出如今註冊界面和登陸界面，通常挖某個電商網站漏洞的時候都會先註冊一個帳號。在註冊信息填充完畢，提交的時候用burpsite進行抓包。結果抓包之後獲得了意想不到的內容。

這是註冊頁面


這個是抓包後的數據（嘗試了一次空白驗證碼繞過，失敗，因此驗證碼變了）

驗證碼居然就在要發回的cookie中……因此，能夠寫一個針對性的程序解析cookie獲得驗證碼，這個驗證碼形同虛設。註冊之後在登陸界面試驗了一下，如出一轍。

在註冊信息提交之後，通常都有一個短信驗證手機號環節。因爲以前亂填的手機號，因此……只能是改下包看看能不能發送到其餘手機了。（這裏也是可能出現漏洞的位置）

點擊發送驗證碼，抓取數據包，而後修改裏面的手機號爲一個本身的手機號，而後發送，本身的手機果真收到了短信，並且把驗證碼輸進去以後……居然真的註冊成功了。


（居然真的用假的手機號註冊，用另外一個手機接收驗證碼，而後成功了！！！）

接下來就測試短信轟炸漏洞。我將剛剛發送驗證碼的數據包重發，一次性重發了幾回，而後過了半小時又試着重發了一次，在隔3個小時再發一次，居然每次都能收到驗證碼。（我沒有一次性重發100次，那太可怕了）。就這樣，也挖到了一個短信轟炸的邏輯漏洞。

這裏給出一個10秒內連續發送三次驗證碼的結果：

相信這個網站在我登陸進去之後應該還有其餘奇葩漏洞吧，等下次接着抓，到時候更新一下。