网站安全检测之用户密码找回网站漏洞的安全分析与利用
我们SINE安全在对网站，以及APP端进行网站安全检测的时候发现很多公司网站以及业务平台,APP存在着一些逻辑上的网站漏洞，有些简简单单的短信验证码可能就会给整个网站带来很大的经济损失，很简单的网站功能，比如用户密码找回上，也会存在绕过安全问题回答，或者绕过手机号码，直接修改用户的账户密码。
在短信炸弹，以及用户密码找回的网站漏洞上，我们来跟大家分享一下如何利用以及如何防范该漏洞的攻击。
我们来看下之前对客户网站进行的网站安全检测的时候我们发现到的短信炸弹漏洞，由于客户反映注册网站会员的时候会收到好几条重复的验证码短信，甚至多次点击提交也会导致收到好多条验证码信息，随即我们SINE安全对其进行详细的安全检测，果然发现了问题，对注册会员的时候确实存在多次发送短信的情况，我们对提交的数据，GET,POST方式进行多次的安全测试，发现post数据的时候，在smg值后面随意添加任何参数，即可导致网站发送验证码短信到用户手机上，可以发送无数条短信，如果被攻击者利用，那带来的损失无法估量。
对于这次检测出来的短信炸弹漏洞，首先分析代码，从之前程序员写的代码里看出，在用户登录这个过程代码里没有进行详细的安全过滤，导致输入用户名密码就可以发送验证码，再一个就是程序员设计的过程中将测试的手机号码都存放于数据库里，导致很多正常的用户收到测试时候的短信验证码。再一个漏洞产生的原因，就是程序代码里设计的初始化密码为123456，导致在找回密码重置密码的时候就会进行写入数据库，攻击者利用撞库就可以很容易的猜测到用户的密码。
那么该如何防范短信炸弹漏洞呢？
从网站安全的角度来分析，以及网站安全部署层面上看，在短信平台上可以做到防止短信无数发送，现在阿里云的短信平台，可以做到防止多次发送短信到用户手机，一个手机号一天只能接收5次短信的安全限制，再一个就是从程序代码里进行安全加固，对注册的会员，进行判断，如果是一个IP，只能发送一条短信。用户点击获取验证码前输入图文验证码，才能发送，间隔时间60秒才能发送一条短信。在整体的网站安全检测中我们要提前告知客户，我们在进行操作什么，网站漏洞扫描，网站漏洞利用，数据库写入删除等比较重要的操作，都要事先跟客户告知，提前对网站的数据进行整体的安全备份，包括数据库的备份，网站源代码的备份。在渗透测试当中我们要先进行安全评估，整体的安全检测会不会给用户带来影响以及损失，尽可能的不要产生影响客户网站访问，以及业务正常运转。下一篇文章跟大家分享用户密码找回漏洞的利用与分析。
网站安全检测之用户密码找回网站漏洞的安全分析与利用相关推荐
- 制作网站设计项目进度表让用户充分了解网站制作进程
当用户委托我们进行网站设计制作的时候,经常询问网站建设到什么阶段了,是否能尽早投入使用?很多人都有过类似的体验,坦白说,这通常都是因为用户并不知道网站开发需要做什么,人们通常习惯于在一两周内看到成品, ...
- 制作登录注册密码找回网站常用控件
常用控件有TextBox(文本框)和Button(按钮) TextBox属性TextMode,值为 SingleLine|Password|MultiLine.如需查看TextBox2文本框里位数用T ...
- 网站如何才能吸引用户，增加网站点击率？
在网站优化中,网站点击率同样也是评判一个网站好坏标准之一,网站优化的目的也是在呢个价网站的知名度,提高效益转化,所以这就需要网站有一定的点击率,做到让网站更受欢迎,那么,该如何增加网站的点击率呢?下面 ...
- 计算机域用户密码过期,PowerShell 检测域用户密码过期时间
环境 AD 域服务器 Windows 2012 R2,Exchange 首先定制脚本,本脚本是参考网上一些资料然后进行改良的,3000用户的域执行约1分钟. 参考文章 http://lixiaoson ...
- 按键 使用WinHttp实现POST方式用户模拟登录网站
引言 这篇文章是我以前在一个论坛里写的,今天把这篇文章转移到这里. 文章主要介绍了如何模拟一个网站的登录. 这里使用的辅助工具是按键精灵,编程语言类似于VB. 实现步骤 第一步,获取登录地址 打开登录 ...
- 阿里云盾控制台在哪里?360网站安全检测不支持阿里云主机网站解决方法
阿里云盾控制台在哪里?360网站安全检测不支持阿里云主机网站解决方法 用了阿里云快3年了,不二版本感觉阿里云的服务器用户体验做得相当好,这也是为什么选择阿里云的原因,但是最近发现一个美中不足的问题,阿 ...
- 网站安全检测之信息收集类工具
网站安全检测的第一步是最大程度地收集目标系统的信息,这同样也是网站安全检测的关键性步骤.信息的收集和分析伴随着网站安全检测的每一个步骤. 用于信息收集的工具有哪些? subDomainsBrute.L ...
- 聊聊密码找回 · Web 安全那些事儿
大部分网站为了防止用户遗忘密码,提供了找回密码的功能.常见的找回密码方式有:邮箱找回密码.根据密码保护问题找回密码.根据手机号码找回密码等.虽然这些方式都可以找回密码,但实现方式各不相同. 其实无论是 ...
- GitChat · 安全 | 聊聊 「密码找回」
来自 GitChat 作者:汤青松 更多使用技术,尽在微信公众号:GitChat技术杂谈 进入 GitChat 阅读原文 WEB安全用户密码找回多案例安全攻防实战 这次文章以wooyun的密码找回代表 ...
最新文章
- 嵌入式C程序基础与编程结构
- GCP(Google Cloud Platform) Console Shell创建图形界面系统（Ubuntu）
- TCP/IP协议簇简介
- 获取系统时间出错oracle-,oracle 获取系统时间（转）
- cad怎么快速算面积_用cad算面积的快捷键方法步骤详细，大朗CAD培训班
- vue 每次弹框都初始化
- C语言 fwirte 函数 - C语言零基础入门教程
- 测试框架之testng使用
- php 开发环境配置,开发环境配置
- 如何在 Mac 上自动启用隐藏式字幕？
- POS机商户巡检系统 后台+手机APP
- 概率图模型: Coursera课程资源分享和简介
- 认识机器视觉环形光源
- vue+element ui设置默认头像
- OpenResty学习——第七章 Web开发实战2——商品详情页
- 客户主数据知识点总结
- 直插电阻通过色环读取电阻阻值，误差与温度系数方法总结
- Docker推送一个自制镜像到dockerhub
- Steam账号被盗后，账号找回，PUBG解封经验分享
- 聋校计算机教材教法培训Ppt,聋校语文教材教法学习心得