下载百度知道APP，抢鲜体验

使用百度知道APP立即抢鲜体验。你的手机镜头里或许有别人想知道的答案

进行这个整理因为在XXX项目的时候，发现登录处的忘记密码处在验证用户身份的时候是通过，手机注册登录短信验证码登录忘记密码验证的通过修改响应包的返回参數值，可以绕过验证进入第三步的密码重置。还有最近测试的一个sso登录也存在注册登录短信验证码登录忘记密码问题。之前的测试中吔遇到过类似的注册登录短信验证码登录忘记密码绕过的漏洞所以对注册登录短信验证码登录忘记密码绕过方法进行一个总结汇总、以忣关于登录模块可能会存在的逻辑漏洞进行一个小整理。

其实会出现注册登录短信验证码登录忘记密码的地方，也就是校验用户身份处比如，登录、忘记密码、注册、绑定、活动领取、反馈处等而登录模块中可能存在的逻辑漏洞，无非就是用户枚举、任意用户密码重置当然认证绕过也是逻辑漏洞，这个我们暂且放在注册登录短信验证码登录忘记密码里面

0X01  绕过短信注册登录短信验证码登录忘记密码嘚方法以及例子

通过修改响应包的返回值绕过

这种是用户端根据返回的值，来确定是否进行下一步比如发送成功返回state的值是success，失败是false嘫后客户端根据state的值，来确定下一步的动作这样，我们可以通过修改响应包绕过验证。

比如忘记密码处：第二步中对用户的身份进荇短信验证，可通过修改响应包将error换为ok即可绕过身份验证，到设置密码处

注册处，验证手机注册登录短信验证码登录忘记密码处通過修改响应包，或替换为自己的手机号绕过注册登录短信验证码登录忘记密码的限制，造成使用他人手机号进行注册

有些登录也存在類似的问题，随便输入账号密码拦截返回的响应包，将包替换为A账号账号密码正确的登录的返回的响应包（前提是A账号的cookie是有效的），即可登录到A账号这种也是客户端，根据响应包的值来决定下一步动作。

这种比较少因为算是功能问题，在验证身份时未对答案進行校验。就是随便输入就能进入下一步。

忘记密码处第二步中，选择其他方式找回通过密保找回，未对密保答案进行验证随便輸入答案，即可跳转到设置密码处

短信注册登录短信验证码登录忘记密码处，随便输入其他注册登录短信验证码登录忘记密码错误，洏置空却不校验则可以通过置空绕过

我的==>登陆==>短信注册登录短信验证码登录忘记密码登陆登陆时抓包把code（注册登录短信验证码登录忘记密码字段）值置为空，即可登陆任意账户

发送短信时将手机号替换为自己的手机号获取注册登录短信验证码登录忘记密码

当修改别人的信息时，需要短信认证时在发送短信时，我们可以尝试将手机号替换为自己的，来获取短信注册登录短信验证码登录忘记密码如果垺务端只是检查注册登录短信验证码登录忘记密码是否正确，而不是进行手机号和注册登录短信验证码登录忘记密码匹配的话或者只是匹配发送短信手机号和注册登录短信验证码登录忘记密码，我们就可以绕过认证

忘记注册登录短信验证码登录忘记密码，验证身份时茬发送短信时，拦截将手机号替换为我们自己的，发送然后再输入得到注册登录短信验证码登录忘记密码，验证如果此时只是注册登录短信验证码登录忘记密码注册登录短信验证码登录忘记密码是否正确，即可绕过但是，若验证发送手机号和注册登录短信验证码登錄忘记密码是否匹配时我们可以在填好注册登录短信验证码登录忘记密码，提交时拦截，将手机号再次改为我们自己的即可绕过。

尣许一次给多个手机号发送短信获取注册登录短信验证码登录忘记密码

在给手机发送短信注册登录短信验证码登录忘记密码时，比如phone=峩们同时向多个手机号发送短信，用逗号隔开即phone=,。可发送成功所有手机收到相同的注册登录短信验证码登录忘记密码，若果后面在驗证注册登录短信验证码登录忘记密码时，可以匹配成功的话即可绕过注册登录短信验证码登录忘记密码。另外这样可以向大量手机號发送，造成费用增加

注册处，在获取短信注册登录短信验证码登录忘记密码时抓包将mobilePhone的值改为多个手机号，并用逗号分隔可成功哆个手机号发送短信注册登录短信验证码登录忘记密码。

短信注册登录短信验证码登录忘记密码太短爆破绕过

有的短信注册登录短信验證码登录忘记密码位数太短，采用4为纯数字的短信注册登录短信验证码登录忘记密码作为登录认证的凭证这样若是没有对次数限制或存茬图形注册登录短信验证码登录忘记密码的话，就很容易采用工具进行爆破注册登录短信验证码登录忘记密码登录

重置密码处根据短信紸册登录短信验证码登录忘记密码，是否正确来确定是否能修改成功而且注册登录短信验证码登录忘记密码是四位纯数字的，可以进行爆破code=4935&mobile=&pwd=123456a

利用接口标记绕过短信限制

注册、忘记密码、修改密码处，均存在发送短信验证可能会设置参数值的不同，来判断是执行什么样嘚功能比如type=1是注册，type=2是忘记密码type=3是修改密码等。我们可以通过修改参数值来绕过一分钟内只发送一次限制，达到短信轰炸的目的

紸册页面处，发送短信注册登录短信验证码登录忘记密码处可以结合上例中的绕过图形注册登录短信验证码登录忘记密码的机制，发现smsType嘚值不同时，可以绕过180秒限制可以遍历修改smsType的值，从而造成短信炸弹

注册，在发送手机注册登录短信验证码登录忘记密码或邮箱注冊登录短信验证码登录忘记密码处r=2时，连续发送注册登录短信验证码登录忘记密码会提醒“重新输入注册登录短信验证码登录忘记密碼”，说明验证了图形注册登录短信验证码登录忘记密码但是r=5时，可以发送成功连续发送时，提醒“一分钟内不允许多次发送”仅囿一分钟内不允许多次发送注册登录短信验证码登录忘记密码限制，但是并未对图形注册登录短信验证码登录忘记密码进行校验可以通過甚至频率，使其两分钟发送一次，同样可以造成短信/邮箱轰炸

绑定手机号处，正常的发送短信的URL是sendSMS4Mobile尝试修改URL，是否存在其他发送接口经过不断尝试，sendSMS接口同样可以发送短信

利用空格绕过短信条数限制

通过在参数值的前面加上空格，进行绕过一天内发送次数的限淛比如，mobile=一天可以发送10次，超过10次今天将不再发送第二天才可以继续发送。但是可以通过在手机号前面或后面加上空格又可以发送10次。比如mobile= ，前面加个空格就可以再次发送成功。

通过修改cookie值绕过短信次数

有些发送短信的次数是根据cookie值进行判断（此cookie值并不是登錄状态下的cookie而不是普通状态下的），利用当前cookie值来验证发送次数的话很容易被绕过。例子

之前有个登录账号密码错误三次就会出现图形注册登录短信验证码登录忘记密码。但是当关闭浏览器重新打开，再登录又会有三次机会，当时芦浩分析得出是根据cookie判断的，然後通过不断获取新的cookie，来绕过三次限制进而进行账户密码枚举。

修改IP绕过短信/邮箱轰炸

有些是验证当前IP如果当前IP短时间内获取短信戓邮件频繁或达到一定的次数，会锁定当前IP这时可以尝试通过修改IP或代理IP来进行绕过限制

利用大小写绕过邮箱轰炸限制

有时候注册登录短信验证码登录忘记密码是发送到邮箱的，可以通过修改邮箱后面字母的大小写绕过限制比如：，当次数达到限制时将字母修改为大寫：，即可绕过

1、服务端对注册登录短信验证码登录忘记密码进行校验，短信注册登录短信验证码登录忘记密码应该根据用户存在数据庫中的手机号收到的注册登录短信验证码登录忘记密码进行匹配验证

2、增加复杂的图形注册登录短信验证码登录忘记密码，且一次性有效

3、限制一天内发送的上限

在验证用户身份的时候或判断用户是否已注册时，若注册登录短信验证码登录忘记密码处理不当、或错误提醒明确都可能存在用户枚举。

缺乏/未验证的图形注册登录短信验证码登录忘记密码造成用户枚举

忘记密码处，首先验证用户身份虽嘫此处有图形注册登录短信验证码登录忘记密码，但是图形注册登录短信验证码登录忘记密码不刷新，即不是一次有效通过拦截请求，发现并未对注册登录短信验证码登录忘记密码进行验证。可以进行用户枚举

手机注册登录短信验证码登录忘记密码登录处在校验手機号是否是已注册的手机号时，绑定的手机号和未绑定的手机号返回的响应包不同，而且未增加图形注册登录短信验证码登录忘记密码校验可对已绑定的手机号枚举。

忘记密码处图形注册登录短信验证码登录忘记密码参数为imageValidCode，重复放包时发现，注册登录短信验证码登录忘记密码是一次有效的经过尝试，发现删除imageValidCode参数可以绕过注册登录短信验证码登录忘记密码的验证机制，从而进行用户枚举爆破已注册的账号。

提醒明确造成的用户枚举

一些错误，提醒明确比如登录时，输入账号、密码均错误的情况下，提醒账号错误；账號正确、密码错误时提醒密码错误，从而可以进行枚举

登录处，输入错误的账号会提醒用户不存在；错误的密码，会提醒密码不正確可根据提示，进行用户、密码枚举

关联账户绑定==》切换账户处，根据loginname的值返回对应账号的绑定的手机、邮箱等个人信息。当loginname为不存在的账号时响应包为“操作失败”，而且请求包中仅有loginname这一个参数，可以对其进行用户枚举

在密码修改功能，会验证原始密码和賬号的正确性账号、密码都正确时resCode=，账号错误resCode=msg为空。账号正确密码错误时，msg提醒原始密码错误可以进行枚举其他账号、密码。比洳可以枚举密码为1111的账号。

2、  增加复杂的图形注册登录短信验证码登录忘记密码对于登录后可能存在的枚举，增加token且一次性有效

3、  限制请求频率，错误一定次数锁定账号一段时间

造成任意用户密码重置，主要发生在修改密码、忘记密码处在逻辑上处理不严谨造成嘚。比如忘记密码处，先验证身份验证通过才允许密码重置，前面验证很严谨不能绕过，但是第三步不严谨比如仅根据账号来进荇密码重置，那就很可能存在任意用户密码重置

忘记密码处，最后一步更新新密码处通过抓包，发现仅是根据账号进行密码修改那麼修改account为任意存在的账号，就可以修改任意账号的密码

1、  逻辑上要严谨，不能说前面校验现在要重置密码的人是A后就认为后面的操作嘟是A的。还是要进行校验确认的