基于web页面验证码机制漏洞的检测
在区块链这一块上，每个用户或多或少都在部分网站上注册过一些帐号，当这些帐号涉及到金钱或者利益的时候，帐号的安全就是一个非常值得重视的问题，因此帐号的安全是各个厂商所非常关注的一个点。但是依然会存在一些厂商在身份验证这一块上存在着漏洞，并不是厂商不注重这个问题，只是在代码层的验证过程中的逻辑出现了一些差异，往往这些逻辑漏洞利用起来比较容易。
0x00不可靠的前端校验
在现实环境中，会有许多的网站他们没有严格进行身份校验，他们往往是通过依靠帐号密码发送后回传的状态码来判断用户身份是否正确，这就暴露出了很大的漏洞，这种漏洞利用起来就相当的容易，往往只需要一个安全界的神器BURP就可以完成身份验证的绕过，在登录的时候输入正确的账户以及随意的密码，将报文拦截下来，然后选择burp里面的拦截返回包的功能，捕捉返回的状态码
声音 | 每经网评论员：加大“区块链”乱象监管，科技手段不能缺位:11月28日，每经网评论员发文《加大“区块链”乱象监管 科技手段不能缺位》。文章表示，除了传统监管手段，有关部门也要做好重点监管、联合监管，并要依赖科技的手段。首先是重点监管。国内加强对虚拟货币交易所的监管，应重点加强对号称注册在海外，实则在境内大量开展业务的大型虚拟货币交易所的监管。其次是科技监管。有关部门应加强联合监管，并重视监管科技的应用。作为一种综合性的创新技术，若想挖掘区块链背后赋能实体产业、服务社会需求的巨大潜力，监管和法律不能缺席。面对当前虚拟货币乱象，有关部门要强加重点监管，也要重视科技监管，只有这样，才能更好把依法治网落实到区块链管理中，推动区块链安全有序发展。[2019/11/29]
将返回包中的状态码修改为正常登录的状态码，当然这里的状态码不一定都是0和1这种，各种状态码都有可能存在，那么我们怎么样判断正确的状态码是什么呢？
声音 | 前央视评论员王志安：比特币就是，没有任何内在价值:5月20日消息，前央视评论员、资深调查记者王志安昨日在其微博表示，比特币就是，没有任何内在价值。[2019/5/20]
这里我们就需要自己手动注册一个用户，然后进行正常登录，并且抓取返回的状态码，当你发现发回的报文中，仅仅只存在状态码，并没有其他set-cookie或者tocken等信息的时候，那么这个登录界面就有极大的可能性存在这种漏洞。这是比较致命的一种漏洞，那么你可能就会有其他的问题了，即使他存在了这种漏洞，但是我们不太可能拥有其他大量的帐号，这个漏洞的危害不就没什么用了码？这就是我接下来要说的问题。
0x01遍历手机号
现在大多数的网站都存在着手机号注册的这一个功能，一般来说同一个手机号只能注册一个帐号，所以手机号也是能作为帐号，这就是能利用的一个点，当手机号能成为帐号的时候，那么之前所存在的疑问就解决了一半，既然知道手机是可以用来登录的帐号，那么如何来获得这些手机号呢？这个问题其实是一个非常好的问题，对于手机号来说，一共有11位数，要想胡乱的猜测一个手机号是否在这个平台上注册过，一次性猜中的概率是微乎其微，但是有的网站的忘记密码这一功能就存在利用的方法，但是我认为他的危害性还是有的。在我们忘记密码的时候输入手机号码，发送手机验证码的时候，部分网站都会先查询这个手机号是否在这个网站上注册过，要是没有则会提示号码不存在，存在则发送短信。那么可以使用这一个逻辑来进行用户手机号遍历。顺带提一下手机号码可以使用手机号码字典生成器来生成，然后用来遍历。
财经评论员肖磊：谈区块链哲学是好事 但前提得有真才实学:针对3点钟社群谈论区块链的热潮，财经专栏作家、财经评论员肖磊称“其实很多时候，市场声音越大的人，对行业的影响可能越小，因为他们往往是逆势发声”，“大佬们卖力的讨论了一周，数字货币跌了一周，搞笑不？”。肖磊希望，“某群的讨论，能够更加深入，更大胆一些，更猛烈一些，如果最后讨论到群被封了，那就更好了，因为那就真的可能会留下点东西了。但一定要真才实学，不要复制粘贴就好。”[2018/2/24]
如图所示，用户不存在则是另外的信息。我们只需根据length长度来辨别，也可以自己写py脚本来遍历保存注册用户。这一个点可以获取到大量的用户手机号。
0x02可爆破的手机验证码
前面介绍了前端校验绕过的方法以及用户手机号获取的方式，接下来来讲解一下手机验证码的问题。我放一张思维导图来供大家参考
分析 | 火币研究院：Libra能够推出的可能性较大:近期Libra的进展给市场带来了一定信心。一是10月15日首次理事会议召开，成立了理事会，董事会，并任命了执行团队成员。在经历了成员退出风波后Libra协会联盟力量已经初步形成，剩余成员大部分对于金融监管不敏感，短期内应该不会再有退出现象。二是9月21日Libra储备中货币比例确定为美元50%，欧元18%，日元14%，英镑11%，新加坡元7%。
火币区块链研究院认为，Libra推出的概率非常大，首先，通过对比Libra储备的货币占比和国际货币基金组织提出的SDR占比(美元42%，欧元31%，日元8%，英镑11%，人民币8%)可以看出，美元、日元、新元占比均有较大提升，而脱欧后的英国可能也需要另结联盟，仅欧元被挤压。为了赢得更高的国际地位，美元、英镑、日元、新元及对应央行都可能支持Libra，此前美联储和英国央行态度也是中立偏积极。其次，支付和证券领域监管体系已经成熟，有据可依，且Libra团队一直在主动与监管沟通，获取资质只是时间问题。
?[2019/10/18]
手机验证码存在的位置可能有三个点：登录、注册、密码找回这三个点。其中注册这个点的危害相对较小，除非找到一个可以批量注册帐号的点。
动态 | 火币研究院：本周区块链资产总市值比上周下跌2.11%:火币区块链行业周报（第七十六期）今日发布，报告显示，本周区块链资产总市值比上周下跌2.11％，TOP100项目中70个项目市值有不同程度下跌。数据显示，截止2019年8月25日，全球区块链资产总市值达2676.74亿美元，环比上周下跌2.11％。本周比特币、以太坊算力均下降，比特币本周挖矿难度环比上升、以太坊挖矿难度环比下降；本周比特币区块平均大小、区块平均交易次数均上升，以太坊的区块平均大小、区块平均交易次数也均上升；本周比特币矿工费下降、以太坊矿工费上升；INS成为代码活跃程度最高的项目。[2019/8/27]
那么危害较大的就剩下登录和密码找回了，实际这两个点的原理是一样的，只不过利用的环境有所不同。
目前登录时候使用手机验证码登录的网站数量不是占很大的百分比，本文就以找回密码这块来说明。
我们在测试之前首先要进行判断的时候他的手机短信验证码的长度、时效以及页面是否存在有比较难的图片验证码，也就是难以用python的库直接识别的图片验证码。这是我们首先要注意的，其次提交一次表单，抓包来看看，是否存在有前端加密，或者sign等。我以手机验证码长度为4位和6位来分类。
第一类：4位手机验证码
当我们发现手机验证码长度为4位的时候，时效为5分钟左右，并且没有什么复杂前端加密或者sign和复杂的图片验证码的时候，那么恭喜你，你可能找到了一个可以爆破出验证码的点，这种漏洞虽然是爆破，但是他利用所花费的时间确实非常低的，通常可以在很短的时间内重置或者登录一个手机号。这对厂商来说就是一个高危漏洞，相信他会给你不错的报酬。
上面的这种属于较为简单的漏洞，笔者在前段时间测试的时候发现了带有sign标记的4位验证码，这种的爆破的难度就有所提升了，他的sign是根据当前的时间戳以及手机号验证码等信息进行加密后生成的，要想去破解这个加密算法，是不太现实的。于是笔者就使用了一种骚思路，可能各位安全界的大佬们也用过，那就是python的selenium库来模拟浏览器自动化点击测试，但是这个就需要自己去根据网站的实际情况以及窗口位置来编写脚本。关于selenium的提供一个学习链接。
第二类：6位手机验证码
通常来说6位的验证码，30分钟的时效是一个挺安全的设计，因为在30分钟内想跑完100W条数据的难度还是挺大，并且网站通常会根据发包速率来进行限制，一旦你的发包速率突破设定，你将会被403，也就是你的IP会被封禁一段时间，有这些设置的验证码是安全的，但是如果说时效在1小时甚至更长，并且不限制IP的发包速率了话，那么利用也是可以利用的，只不过利用的成本过高，所以基本不考虑。因此在导图中写到基本不不去考虑。
0x03现实环境下的漏洞案例思路以及分析
接下来给大家带来一个真实的漏洞案例，也是我本人所挖掘到的一个高危漏洞，该漏洞是一个区块链社区所存在的任意登录漏洞
在登陆界面，由于图片验证码长期有效，所以猜测可以爆破。
通过两次提交发现图片验证码在一定时间内是不会发生变化的，尽管已经经过了一次校验。因为查看js发现验证码是由手机验证码经过sha256后从第六位开始取4位收到的验证码，测试时候输入的验证码为1602
证明了这个加密算法，于是利用脚本生成了0000-9999的加密后的字典用来爆破。在爆破过程中发现，验证码的时效1分钟左右，并不足以完成爆破。于是就换了另外一种思路，既然通过爆破是没有办法完成验证码的限制，则想到了程序员在编写代码的时候他会不会犯一种错误，猜想他是否会将过期后的验证码重置为一串特定的字符。既然有了这种猜想，那么就肯定需要来进行一波验证，首先根据他的加密算法发现他的是sha256，也就是每一位验证码数据只会在0-f之间生成，于是生成了一个0000-ffff的字典，来进行了一波爆破，就如猜想的一样，爆破出一个意外的数值，当然并不是在第一次爆破过程中发现的，第一次可能是一个意外，于是我便借用了别人的手机进行了几次尝试后，发现这个数值是固定的，那么这个漏洞就证明成立的了。
这样就挖掘出了一个任意登录帐号的漏洞，刚好这个网站又存在如之前所说的手机号遍历的问题，于是结合这两个点所产生的结果就是可以登录任意用户。
分析：综合了这些问题，我综合了几点对厂商的建议：
1.在对用户进行身份验证的时候不要把信息校验放在前端
2.手机验证码长度在6位以上
3.在进行发送短信校验码的时候不要在返回包中返回验证码的具体信息
4.在没有获取验证码的时候不要设置默认验证码数值
5.在用户注册页面的验证码要对手机进行绑定，不要出现一个验证码可供多个手机使用的情况
注：本篇文章严禁用以非法用途
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。