前些時间在p1转悠的过程中发觉时见到海外的一名老师傅对手机短信身份认证的安全隐患，

开展了汇总，我将其汉语翻译回来并融合自个过去的一点检测工作经验开展填补。牵涉到的安全

隐患，账号对接这个是手机短信身份认证最明显的安全隐患，攻击者能够盗取随意顾客的账号，

乃至是事前不清楚顾客的手机号，顾客仿真模拟与上边的相近，可是这类的风险性依赖于实际的

业务。一般 ，假如能开展仿真模拟，由于核对体制同样，因而也是有很有可能盗取已申请注册

的账号。

 

 

 

骚扰短信能够针对顾客或其他别人。易受攻击的网站APP的身份认证页面用以推送信息。针对

Web服务自身，狂轰滥炸很有可能造成会员忠诚度和名誉损伤。资源枯竭的问题，这儿就是指

，网站接口为了更好地发送信息，必须接入到短信业务的服务商，而后边会对每条信息开展计

费，因而，骚扰短信期内，验证码短信接口的余额可被消失殆尽。

 

 

测试工程师该怎样查找验证码漏洞？

 

短信验证码推送频次限止，这类机质很有可能会造成顾客没法常规登录，或是没法进行身份认

证。例如推送相应总数的短信验证码址后，这儿假设十次，显示短信验证码推送频次限制，可

是点一下推送依然能够再一次发送验证码。并且事后推送的短信验证码和第九的短信验证码相

同（这儿谢谢manba老师傅在一次介绍中提及的构思）针对推送频次前端开发认证，能够更改

前端开发开展绕开。针对推送频次服务器端认证，能够试着在手机号后边再加空格符来开展绕

开。不正确频次限止这个是验证码短信工程爆破的最普遍的安全隐患，现阶段大部分验证码短

信全部都是4-6位纯大数字，较多的post请求频次位一百万，这针对于当今应用服务器而言并算

不上多。针对不正确频次限止绕开针对不正确频次在cookie里边开展限止，我们可以试着删掉

cookie中的某一主要参数，做到绕开不正确频次限止针对不正确频次前端开发认证，能够更改

前端开发不正确频次来开展绕开。针对不正确频次服务器端认证，能够试着在手机号后边再加

空格符来开展绕开。

 

 

短信验证码起效时间限制
 

在一些过程中，不正确频次不受到限制，可是短信验证码起效時间很短，例如3分钟起效時间，

3分钟内推送一百万个post请求依然没办法的。可是这儿短信验证码起效時间在源代码构建上

压根沒有限止。由于APP在发送验证码的过程中推送了同样的短信验证码显而易见，开发者觉

得，要是没有键入以前的短信验证码，那样短信验证码就还算得上安全可靠的，能够不需要再

一次产生。因而我们可以在2.3到3分钟中间再一次推送post请求，接受验证码，就可以再一次

工程爆破。