Hello,各位小伙伴大家好~
最近做了一个项目,打开全是登陆窗口,并且无法顺利注册。
记录一下本次针对登陆窗口挖掘到的一些漏洞~
(有些是我挖的,有些是我同事挖的。)
让我们一起来康康吧!
Part.1
简单图形验证码漏洞
简单图形验证码
首先是登陆界面,此处的验证码是有效的,因此无法直接进行爆破。
尝试了一些弱口令如admin/admin等,均无法进行登陆。
试了下重放报文,系统直接报错。
直接删除验证码字段,也无法绕过验证码校验:
后面跟同事学了一招,可以看到此处的验证码图片非常简单,几乎没有加什么干扰。
可以用第三方软件直接识别:
识别后填充到jcaptchaCode字段后,即可绕过验证码进行爆破:
第三方软件无法识别的验证码,应该是这样的
Part.2
短信轰炸
短信轰炸
注册界面,需要我们填写手机号并输入验证码:
输入手机号后,单击获取验证码并抓包:
会发现客户端向服务器传递手机号参数。
重放报文,也不会报错,连续重发十几次,手机连续收到了十余条短信:
因此可判断存在短信轰炸漏洞。
Part.3
验证码不失效
验证码不失效
在忘记密码处需要输入验证码,防止爆破:
抓包后,可以看到请求响应包如下:
只修改用户名,不修改验证码字段,依然可以查询:
因此此处存在验证码不失效漏洞,可进行用户名枚举。
注:有时候重放报文提示“验证码错误”,还可尝试直接删除整个验证码字段,看是否报错。
Part.4
任意密码重置
任意密码重置
另一站点的忘记密码处界面:
输入用户名,验证码,点击下一步出现以下界面:
系统会根据输入的用户名自动填充上模糊手机号。点击获取验证码,输入任意验证码如1234,抓包:
//这里手机号直接就完整显示出来了,造成用户信息泄露。
尝试发包,提示验证码错误:
尝试直接删除验证码字段,再发包:
直接进入输入新密码界面,成功绕过短信验证码:
利用该漏洞可重置任意账号密码。
Part.5
结语
以上就是一次对登录界面的漏洞挖掘了~