Captcha module¶

0x01 漏洞描述¶

验证码模块为线上应用系统中最常用的模块，涉及用户模块、业务逻辑、支付模块等几乎所有模块。验证码模块通常是用来抵御攻击者攻击的常用手段。一旦验证码模块存在逻辑缺陷，将导致对应的业务逻辑存在极大风险。通常将验证码模块分为两类：短信or邮箱验证码、图形验证码。

0x02 常见应用场景¶

2.1 图形验证码¶

• 没有销毁，可复用:图形验证码要遵循一个原则，在一次对比之后，无论用户输入正确与否，都有立刻将验证码销毁
• 图形验证码前端校验
• 图形验证码校验一次，永久使用
• 图形验证码过于简单可被简单程序识别
• 图形验证码在响应包、响应头、cookie中

2.2 短信/邮箱验证码¶

• 短信/邮箱验证码四位，可被爆破
• 短信/邮箱验证码未失效或失效期过长，可被爆破
• 短信/邮箱验证码未和手机号或用户身份等做绑定
• 短信/邮箱验证码规则简单，可被猜测到
• 短信/邮箱验证码可预测
• 短信/邮箱验证码没有验证次数限制
• 万能验证码

• 短信/邮箱验证码在响应包、响应头、cookie中

• 短信/邮箱验证码用于手机短信/邮箱轰炸

• 短信内容自定义：常出现在一些发送短信的后端管理系统中，容易出现类似钓鱼等类型的攻击
• 短信平台自身问题

0x03 漏洞危害¶

验证码模块通常是用来抵御攻击者攻击的常用手段。一旦验证码模块存在逻辑缺陷，将导致对应的业务逻辑存在极大风险。

0x04 修复建议¶

4.1 图形验证码¶

• 验证码后端随机生成，且验证码内容不能出现在客户端的网页源代码以及response数据包中。
• 验证码要有背景干扰，干扰元素包括：颜色、位置、数量且元素需要随机变化。
• 验证码后端校验，且使用一次后即失效。
• 验证码在不同场景下需要与请求的参数一起提交给后端进行校验，且优先校验验证码。

4.2 短信验证码¶

• 请求获取短信接口添加图形验证码。
• 单位时间内：单个IP、单个手机号设置请求限制，具体需要根据场景而定。
• 单个手机号每日短信验证码获取上限。
• 发送短信接口地址白名单。

4.3 其他验证途径¶

• 语音验证码
• Google reCaptcha
• 滑动验证码
• 点选验证码