验证码机制之验证码重复使用

介绍

• 通常在网站的注册、登录、留言板以及评论区等页面会设计有验证码。
• 如果设计不合理,将会导致验证码在验证成功一次之后,下次使用的时候就不再刷新也就是可重复使用。

验证码重复使用的危害

• 恶意注册
• 暴力破解
• 无限刷帖

漏洞原理

• 通常情况下,验证码校验流程如下所示,当服务器端受理请求后,没有将上一次保存的session及时清空,将会导致验证码可重复使用

测试案例

案例

通过重复使用验证码实现登录页面暴力破解。

测试方法:通过重放请求,观察返回的信息提示来进行判断。如果通过重放没有提示

验证码错误″之类的信息,而只是提示“用户名密码错误″这些信息,就说明存在漏洞

第一步 抓取验证码验证数据包 第二步 将数据包重复使用，

防御方案

当服务器端处理完一次用户提交的请求之后,及时将 session域中的验证码清除,并生成新的验证码。

摘抄

人生最大的幸福，就是确信有人爱你，

有人因为你是你而爱你，或更确切地说，

尽管你是你，有人仍然爱你。

–雨果《悲惨世界》