@ComponentScan(value = { "com.my.foo"}) public static class TestApplication { } } 普通测试
'" 指定过滤条件，地址等于发验证码的手机号 这样我们就可以直接取得该手机号发送过来的短信验证码了。...四、实际应用 在自动化测试中，我们可能需要频繁获取短信验证码，以实现某些测试用例。例如注册账号和重置密码时，都需要验证短信验证码。每运行一遍测试用例，都需要获取新的验证码。...为了简化这部分的处理，我们可以编写一个获取验证码的公共函数。利用 adb 命令查询短信内容提供器，获取到最近的一条短信，然后通过正则表达式解析出 6 位数字验证码。...，要获取最新短信可以加上限制行数的参数 短信内容可能以编码形式存储，需要检查是否需要提前做解码 考虑到网络及其他因素，短信接收可能有延迟，获取时需要加入重试逻辑 验证码有一定有效期，获取的验证码需要判断时间距离发送时长...相比每次编写 adb 命令，封装成函数可以提高代码复用率，也使自动化测试用例的实现更简洁。同时，加入一定校验与优化，可以使获取验证码更稳定可靠。 随着测试需求的变更，我们也可以轻松调整内部实现逻辑。
，学习，让自己更有竞争力，增加不可替代性；但也因为这样做测试的开始在通过不一样的方式在“贬低”自己，如做测试的没有钱途，薪资低，容易被替代，为了不被替代开始抛弃本身的业务测试，开始我要学代码，我要做自动化...，自动化测试才是出路，整体可以简称为测试的出路在哪里？...，学习是解决问题的方式，认可自己的职业才是驱动自己前进的动力，同样一件事，不同人做的效果不一样；所以点一点不可耻，不认可自己的点一点才可耻；砌砖都能有高级工程师，你认为如此简单的事其实不简单，做好还有很大差距...自动化，测试开发其实这些都是技术序列，也有管理序列，大家都觉得测试开发这些才是有能力，有竞争力的岗位，才是我们要转型的，是的没错，这些确实是有门槛，有竞争力，但前提是你的公司，你的业务以及你自己能力是否拥有...我看到身边的人，很多人都是盲目追从，半途而废，然后看不起的业务，最后就是将就的状态；其实要认识到本质，做测试的是基于业务，业务有了你才有存在的意义，业务做不起来，你天天要搞自动化什么的，合适吗？
前言一般在执行压力测试之前，会由开发提供出接口文档，包含一些接口的详细参数，便于测试工程师编写测试脚本。但在某些情况下，接口等相关文档缺失，那作为Tester，我们该如何顺利的实施压力测试呢？...在没有任何文档前提下，我们可以通过浏览器的调试模式（F12），获取与网络相关的接口请求和响应信息，从而设计出压测脚本并执行。...主要的实践步骤如下：一、获取接口信息，编写用例01 获取GET请求接口信息在待测Web页面中，按F12进入调试模式（Chrome浏览器）点击Network**Network面板可以记录页面上的网络请求的详情信息...其中如何设置模拟用户数（并发数），需要对流量做准确预估。...，即可执行测试根据实际业务需求选择压测模式，配置对应参数，执行压测吧~图片02解读压测报告，找到性能瓶颈压测执行结束后，需要关注的核心指标：吞吐量、响应时间、成功率等，先确认测试结果是否达到预期，如不满足可以通过以下情况做排查
忘了多会扒的一个简单导航页，自己电脑的浏览器一直用了一年多了，不过之前只有电脑端，不能自适应，今天刚好有点时间抽空套了一下bootstrap框架实现了三端自适应。...演示地址：简单导航演示站 电脑端截图： 平板端截图： 手机端截图： 之前搜索引擎有好几个，不过谷歌之类以及网盘搜索现在都不能用了，就删除了，现在只有百度、搜狗、360和必应搜索，如果有能力的可以自己添加其他搜索
但根据经验主义得到排期也算是目前最好的办法了。那么既然是经验主义，那就应该让AI上场，AI可以考虑到测试需求的所有细节和角度，只要多加训练。就可以推测出一个和实际几乎完全一致的预测。 2....以前总说UI自动化难搞，不值得做。主要原因就是UI前端元素变更频繁，工程师维护不过来。这种麻烦的事最好就是交给AI来做。 3. 根据需求自动生成测试用例。...这些大量的沉积用例，预期输出，正好可以用来训练。只不过，其中需要人为的帮助清洗整理数据。 5. 自动规划出测试范围。...让AI训练以往各个自动化脚本和其表现，再有新的脚本提交给AI后，就可以预测出这个脚本的质量如何了... 8. 性能测试。...你们平时做一件工作，最麻烦的最闹心的就是公司内各种脚本/sql/命令/证书等的问题，到处去问，各种去搜。这个脚本在哪？服务器地址多少？那个SQL怎么写？
A1： 第一就是你们有没有完善的应急响应制度规范，第二就是你们有没有定期组织演练应急演练工作及档案留存，第三就是你们针对各种安全事件的应急相应流程设计及应急响应的组织架构，我个人理解的大致就是这些。...话题二 针对短信验证码，如果第一次输入错误，你们会不会要求销毁让用户重新获取？ A1： 看了多家电商和金融，好像没有这样做过的。 A2： 如果不这样做，那不就可以暴力破解？...A6： 业务上应该都有这样的模型，照顾用户体验，短信延迟和手速、手误的情况下，1分钟6位密大概几次。 可以拿手机银行App转账试下，有没有上限机制。...A8： 我们公司就是这么设置的，实现原理：超过次数，让短信验证码的Redis缓存过期。 话题三 对于WebShell的检测思路有哪些？...A20： 远程检测其实应该还是有的，就是类似黑盒测试，在知道网址的情况下进行黑盒模拟测试，从而发现可能存在的WebShell。 A21： 通过异常行为，有没有开端口，有没有起BASH、CMD之类的。
搞服务器 站长最近沉浸在搞服务器的深渊中，无法自拔。经过了无数个被折磨的夜晚，终于摆脱了腾讯云的束缚，自己真正拥有了一台可以做RNA-seq分析服务器。...使用云服务器做分析的时候，能使用的最高性能配置就是12核64G+8T的硬盘，至于其他比如显卡:等做深度学习的时候再配也来得及比如SSD：性价比超低，等价钱降下来了再配也来得及比如双路cpu：其实一个就够用了...远程登录测试笔记本（左图），服务器（右图）。...由于还没有设置RAID做备份盘，这个硬盘真的是不够用啊，但是T630有八个盘位，至少可以装80T，而且支持热插拔，就是插拔自如，不用关机开机箱。欣慰六。...5、关于噪音和用电量用电量么~~~时间太短没测试出来呢，不敢说费不费电，因为没有显示器可能会省一些点，等电费下来以后再更跟大家说。
前言 本篇文章是博主个人在网络学习时收集整理总结的笔记，在文章末尾已经标明参考原文的链接，有问题可以私聊整改。...短信验证码未做发送时间限制，导致短信轰炸 可能存在万能验证码 16....验证码爆破： 此处验证码爆破通常是指手机短信验证的方式，由于没有对输入同一个验证码的次数做限制，并且验证码的内容太简单，例如4位或者6位的纯数字组成。...短信轰炸 尝试不断重放发送验证码的数据包，查看手机是否在短时间内收到了多条短信，是的话则存在短信轰炸漏洞，这是因为后端没有对发送手机短信做时间/次数限制。...比如某个忘记密码功能处采用手机号短信验证的方式来重置用户密码，如果该验证手机号没有对用户账户进行绑定，那么就可以通过输入任意手机号接收短信验证，然后就可以利用该验证码重置用户密码了。 6.
用户必须准确的识别图像内的字符，并以此作为人机验证的答案，方可通过验证码的人机测试。...这种验证码实际并不符合验证码的定义，写脚本从网页中抓取即可 第二种：验证码隐藏在Cookie中 这种情况，我们可以在提交登录的时候抓包，然后分析一下包中的Cookie字段，看看其中有没有相匹配的验证码...1.2.4出现万能验证码 在渗透测试的过程中，有时候会出现这种情况，系统存在一个万能验证码，如000000，只要输入万能验证码，就可以无视验证码进行暴力破解。...引发这样的原因主要是开放上线之前，设置了万能验证码，测试遗漏导致。 1.3短信验证码登陆 有时候为了方便用户登陆，或者进行双因子认证，会添加短信验证码的功能。...这里的问题在于查询用户处，回显了多余的个人信息。
回到问题上，他想要他调用我的接口有没有把短信发送成功，那我只要问他拿到手机号和文案，然后有以下步骤： 判断该手机号和文案在下发时是否正常（有没有真正调用下发短信的接口） 假设调用短信接口下发成功，那看下返回的回执...那今天他又过来问了：今天有很多人来反馈收不到验证码短信（不是全部人收不到，是大部分人），我想了解一下今天验证码短信下发的成功率是多少。...其实也很简单，既然匹配文案很傻X，那我给他这一批验证码的短信取个唯一的Id那不就可以了吗？...我们现在再来讨论一下有没有必要不同的消息类型（短信、邮件、IM等）需要分开不同的的接口，其实是没必要的了。...批量接口指的是：一次给1个人发送一个文案，但一次调用可以传N个人及对应的文案 这里的单个和批量不是以发送人的维度去定义的，而是人所对应的消息文案。
这时候我想起了在各大平台看见的逻辑漏洞的总结，于是尝试用burp抓包来看看有没有可能越权成为企业用户 我们对下载简历抓包 ? 我们可以看到那个eid是我们查看的这个简历的id。...然后这里必须uid也得改成随便一个企业的uid，因为这里usertype是判断用户账号是个人用户还是企业用户，然后这个uid是判断有没有下载权限。 我们在首页随便找一个企业 ? 然后发包 ?...在简历填写的多处存在储存型XSS 这里拿自我评价处做例子（毕竟企业看人才简历时可以看到自我评价） ? ?...总结： 这个人才网可以说是漏洞百出。把好多学到的姿势充分的实现了。由于还没接触过内网方面的经历，所以并没有对其进行下一步的测试。...从最近的挖洞经历，学会了很多，学到最多的就是逻辑漏洞的姿势，比如越权，短信轰炸，任意用户注册，任意用户密码修改，各种验证码处理不当，商城商品提交订单时，数量、金额、运费、优惠价格等参数没有做严格限制和验证导致
三方短信运营商资费正常情况下短信验证码的接收&三方短信运营商欠费情况是否是接收不到短信 3.短信验证码的有效期测试(5min\10min等) 3.短信验证码使用次数验证(使用过的是否可以二次使用) 4....错误的短信验证码相关校验以及提示信息 5.单次、多次请求获取短信沿验证码根据需求去测试相关场景 6.单个手机IP、用户IP 单日最大获取次数（边界值） 7.短信验证码的必填等校验 安全性列举一二 1.手机号是否设计到敏感信息需要加密...2.获取短信接口限流测试 以上简单列举相关的测试点，自己可以根据需求再发散、细化一下。...，根据以上的场景测试点去测试就好了啊 网友：有个开发自动生成的swagger文档，但是里面没有注册的相关信息，我就是这样做的，但是我感觉这样好像不是很好 小编：获取短信这个接口最能测试相关得限流，测试其它的需要搭配注册接口一起去验证...---- - End - 文 | 整理Python测试社区，联系作者开白转发 Python测试社区博主介绍：7年测试人，某大厂高级系统测试工程师，坐拥1.5W粉丝守护，感谢大家一直以来的支持，个人IP信条
02 短信验证码 短信验证码常见于注册，忘记密码，确认下单等阶段，特别是一些涉及到用户个人敏感行为时候，为了确认操作是用户本人执行的通常会使用短信验证码进行二次认证。...接口没设频次上限导致短信轰炸 起因：短信轰炸问题往往出现在一些小站或者子站，这几年很少看到通过GET请求发送短信验证码了，基本都是使用POST请求，使用抓包软件可以重放请求对于后端没有做限制的网站就可以达到短信轰炸的效果...我们说一下正常的逻辑，首先用户滑动验证码到指定位置，完成后会给服务端回传各种加密信息，为了做风控规则来判断是否异常，个人猜测其规则会包含用户IP，操作行为路径，UA,COOKIE，设备指纹等等，如果没有命中规则...其次，不能为了增加破解难度而抛弃用户体验，不要把验证码做的极其复杂人眼都识别不了，这种也会失去验证码的意义（用户都没了还给谁验证…） 目前来说大部分的企业还是偏向使用图形验证码，在测试过程中只有极少数的公司会动态升级自己的图片验证码...最后，有做业务安全的同学可以一起学习交流。
因为一些特殊原因，本文就拿 淘宝 做例子来演示以购物流程来进行漏洞挖掘。...发现发送短信时不需要输入验证码才能发送，且不限制发送的验证码的次数，或发送验证码时存在绕过 ?...打开方式二 在进行用户注册的时候发送短信，抓包，发现包里直接有验证码 ? 但是通常可能验证码会经过base64等编码手段进行编码，解码后也可直接获得验证码 ?...经过对网站的测试，发现对登录次数失败没有限制，也没有验证码的限制，因此可以直接burpsuite跑大型字典，从而暴力破解账号密码 ?...答：可能有的网站注意过这个问题，在个人资料那个入口已经做出了过滤，但是在购买物品时添加的地址的确没有做出过滤 比如曾经在对某网站测试的时候，发现个人信息的地址栏对输入的payload做出了过滤，但是在购买物品重新添加地址的时候
前言 上一篇讲了 springboot 集成邮件服务，接下来让我们一起学习下springboot项目中怎么使用短信服务吧。项目中的短信服务基本上上都会用到，简单的注册验证码，消息通知等等都会用到。...短息服务我使用的平台是阿里云的。网上有很多的短信服务提供商。大家可以根据自己的需求进行选择。 准备工作 在阿里云上开通服务，以及进行配置。...这些阿里云官方文档都写的很清楚，怎么做就不细说的，大家可以参考一下这篇文章: https://blog.csdn.net/qq_27790011/article/details/78339856 配置好之后你需要获取如下信息...PhoneNumbers 是接收信息的手机号，这里我发送的是短信验证码。所以我这里生成一个6位的d验证码。具体需求大家可以根据需求进行调整。...看看到我们的手机上收到了短信。 ? 可以看到短信服务是配置成功了的。整体来说没有我们想象中的那么复杂。 番外 好了，就说这么多啦，今天项目的代码也同步到github 上啦。
先说说让我 angry 的几件事， 1 重启数据库要通过短信验证，没有使用过云的数据库的同学不要怀疑，你重启一个数据库那么是一件非常困难的事情，你重启数据库要通过短信验证，并且你在一个云里面的账号如果不是主账号...有的同学说，那你就短信验证就好，如果你有30多套数据库，都要重启，每个都要短信验证，并且你的那个手机还是CTO 的收集，在半夜12点你需要联系你的CTO ，把他摇醒，说来我们ONE BY ONE 的把数据库从起一下...，来告诉我你的短信验证。...（附：设计思路是，最近发生的一些删库跑路的问题，实际上我想问的是那怕是要防止这样的问题，设置一个开关短信验证的人通过总账号关闭或打开短信验证功能，没有必要都要这样做，另外社会问题，都要技术方式来解决，这本来就是一个吃力不讨好的事情...不是我傻，而是你根本就没有做功课，你们数据库不做测试的吗，每个参数的调整的范围与影响，哪怕你可以给一个说明也是可以的，我们也可以自己做测试，实际上我们做了，并且就在很低的配置上，调整部分参数已经有性能的不同了
其中不安全对象引用指的是平行权限的访问控制缺失，比方说，A和B两个同为一个网站的普通用户，他们之间的个人资料是相互保密的，A用户的个人资料可以被B用户利用程序访问控制的缺失恶意查看，由于A用户和B用户之间是一个同级的账号...下面我们通过几个简单的案例给大家进行说明 ⑴ 任意修改用户资料 某交易平台的用户可以通过该系统的个人资料修改页面修改个人的昵称和头像。 截取发送修改请求的数据包抓取进行分析。...一般网站开发者为了防止恶意注册的行为，在注册页面均会在加入一些需要人工输入的步骤，比方说短信验证码，邮箱验证等。但是在对金融平台测试的过程中，同样也发现了部分验证功能可被绕过。...除了单纯的短信轰炸之外，我们在测试过程中也发现，部分金融交易平台对所发送的短信内容也并没有进行限制，导致可被利用进行短信欺诈。...案例 短信轰炸 在测试的过程中，我们发现众多的金融交易平台仅在前端通过JS校验时间来控制短信发送按钮，但后台并未对发送做任何限制，导致可通过重放包的方式大量发送恶意短信。
为了自动化整个验证码收发的流程，这时候我们想要完成的就是——当手机收到一条短信的时候，它能够自动将短信转发到某处，比如一台远程服务器上或者直接发到 PC 上，在 PC 上我们可以通过一些方法再把短信获取下来并提取验证码的内容...不过总的来说，整个流程下来其实还需要花费一些开发成本的，对于如此常用的功能，有没有现成的解决方案呢？自然是有的。我们可以借助于于一些开源实现，我们就没必要重复造轮子了。...OK，配置完成之后，然后我们给该手机尝试发送一个验证码，内容如下： 测试验证码593722，一分钟有效。...这时候就可以发现刚才的 Flask 服务器接收结果是这样的： received +8617xxxxxxxx 测试验证码593722，一分钟有效。...接码平台 当然如上的方案成本还是比较高的，而且这些方案其实已经不限于简单接收短信验证码了，比如手机群控系统一般都会做手机群控爬虫，而卡池也可以用来做 4G/5G 蜂窝代理，如果仅仅做短信收发是可以的，但未免有些浪费了
比如OSS对象存储这种就是要用中间层做权限验证和拉取对应的文件，数据层是最不好做的； 4. 本地文件加密（可以用云自带的本地加密配置选项，如果有最好）； 5....A2： 差不多，若是基于这些职责为前提，像这类靶机软件，怎么做呢？关注安全公告，发现新的就输出给系统负责人，然后Stop？漏洞太多，打补丁后还需要功能测试，QA工作量很大的。...APP端短信登录可以校验IEMI号等信息，可以算双因子， 但是PC端 感觉就是一个短信码校验，这种要短信登录怎么做双因子？ A1： 密码+短信。...A2： 就是觉得密码+短信比较麻烦，想看看有没有好点的办法。 A3： 或者类似购物网站，弄个最近收货人或者收货地址之类的。或者是密码+首次登录获取设备信息。 A4： 单纯的短信验证码只是单因子吧？...A1： 不能直接用，都没有做证据固定怎么能直接用在法庭呢？要是证据可以固定、证据完整是可以的。 A2： 应该不能做直接证据，旁证还是什么的是可以的。前提是日志核实过吧，我记得日志需要厂商出人作证。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
