51、WEB攻防——通用漏洞验证码识别复用调用找回密码重定向状态值

2024-03-10 17:36
文章标签 通用 漏洞 web 调用 密码 51 重定向 复用 验证码 识别 攻防 找回 状态值

本文主要是介绍51、WEB攻防——通用漏洞验证码识别复用调用找回密码重定向状态值，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

文章目录

    • 回显状态判断
    • 用户名重定向
    • 验证码回显显示
    • 验证码简单机制
    • 验证码复用
    • 验证码智能识别
    • 验证码接口调用
    • 安全修复建议

回显状态判断

request前端判断不安全（前端接收验证的返回值来进行判断)，使用burp的Response to this request可以抓取返回包~
在这里插入图片描述

这种方法使用条件：必须是通过前端JS来进行验证码判断，类似于文件上传中的前端验证。
在这里插入图片描述

用户名重定向

先用A用户的信息来进行验证，最后实际修改用户B的信息

验证码回显显示

验证码泄露验证虚设（验证码在数据包中有体现）
在这里插入图片描述

验证码简单机制

验证码过于简单、无验证次数，爆破

验证码复用

就是验证码重复使用（等于没有验证码）；若不存在验证码复用，需要考虑验证码识别。

验证码智能识别

NEW_xp_CAPTCHA
(白嫖版)burp插件 验证码识别xp_CAPTCHA
爆破后台密码时，一般需要验证码（验证码那个网站，每次访问验证码都变）。首先填写好验证码，再抓个包。
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

验证码接口调用

抓当前发送验证码数据包后调用，有两个问题：1、能不能多次获取验证码（安全的网站是：输入正确图片码才发送验证码，且间隔一段时间才重新发验证码）；2、能不能在单位时间内无限制获取验证码。
在这里插入图片描述

只是损耗资源，没有实质安全影响。

安全修复建议

  • 找回机制要进行每一步验证——防绕过重定向
  • 找回机制要进行服务端验证——防res数据修改
  • 找回机制要控制验证码安全——防验证码攻击
  • 验证码接口需验证后被调用——防接口被乱调用
  • 验证码引用智能化人工判断——防验证码被识别
  • 验证码采用时间段生效失效——防验证码被复用

这篇关于51、WEB攻防——通用漏洞验证码识别复用调用找回密码重定向状态值的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/794987。

相关文章

阿里开源语音识别SenseVoiceWindows环境部署

阿里开源语音识别SenseVoiceWindows环境部署

SenseVoice介绍 SenseVoice 专注于高精度多语言语音识别、情感辨识和音频事件检测多语言识别： 采用超过 40 万小时数据训练，支持超过 50 种语言，识别效果上优于 Whisper 模型。富文本识别：具备优秀的情感识别，能够在测试数据上达到和超过目前最佳情感识别模型的效果。支持声音事件检测能力，支持音乐、掌声、笑声、哭声、咳嗽、喷嚏等多种常见人机交互事件进行检测。高效推
阅读更多...
如何在页面调用utility bar并传递参数至lwc组件

如何在页面调用utility bar并传递参数至lwc组件

1.在app的utility item中添加lwc组件： 2.调用utility bar api的方式有两种： 方法一，通过lwc调用： import {LightningElement,api ,wire } from 'lwc';import { publish, MessageContext } from 'lightning/messageService';import Ca
阅读更多...
【测试】输入正确用户名和密码，点击登录没有响应的可能性原因

【测试】输入正确用户名和密码，点击登录没有响应的可能性原因

目录 一、前端问题 1. 界面交互问题 2. 输入数据校验问题 二、网络问题 1. 网络连接中断 2. 代理设置问题 三、后端问题 1. 服务器故障 2. 数据库问题 3. 权限问题： 四、其他问题 1. 缓存问题 2. 第三方服务问题 3. 配置问题 一、前端问题 1. 界面交互问题 登录按钮的点击事件未正确绑定，导致点击后无法触发登录操作。 页面可能存在
阅读更多...
Java Web指的是什么

Java Web指的是什么

Java Web指的是使用Java技术进行Web开发的一种方式。Java在Web开发领域有着广泛的应用，主要通过Java EE（Enterprise Edition）平台来实现。  主要特点和技术包括： 1. Servlets和JSP：     Servlets 是Java编写的服务器端程序，用于处理客户端请求和生成动态网页内容。     JSP（JavaServer Pages）
阅读更多...
day-51 合并零之间的节点

day-51 合并零之间的节点

思路 直接遍历链表即可，遇到val=0跳过，val非零则加在一起，最后返回即可 解题过程 返回链表可以有头结点，方便插入，返回head.next Code /*** Definition for singly-linked list.* public class ListNode {* int val;* ListNode next;* ListNode() {}*
阅读更多...
BUUCTF靶场[web][极客大挑战 2019]Http、[HCTF 2018]admin

BUUCTF靶场[web][极客大挑战 2019]Http、[HCTF 2018]admin

目录   [web][极客大挑战 2019]Http 考点：Referer协议、UA协议、X-Forwarded-For协议 [web][HCTF 2018]admin 考点：弱密码字典爆破 四种方法：   [web][极客大挑战 2019]Http 考点：Referer协议、UA协议、X-Forwarded-For协议 访问环境 老规矩，我们先查看源代码
阅读更多...
基于51单片机的自动转向修复系统的设计与实现

基于51单片机的自动转向修复系统的设计与实现

文章目录 前言资料获取设计介绍功能介绍设计清单具体实现截图参考文献设计获取 前言 💗博主介绍：✌全网粉丝10W+,CSDN特邀作者、博客专家、CSDN新星计划导师，一名热衷于单片机技术探索与分享的博主、专注于 精通51/STM32/MSP430/AVR等单片机设计 主要对象是咱们电子相关专业的大学生，希望您们都共创辉煌！✌💗 👇🏻 精彩专栏 推荐订阅👇🏻 单片机
阅读更多...
EasyPlayer.js网页H5 Web js播放器能力合集

EasyPlayer.js网页H5 Web js播放器能力合集

最近遇到一个需求，要求做一款播放器，发现能力上跟EasyPlayer.js基本一致，满足要求： 需求 功性能 分类 需求描述 功能 预览 分屏模式 单分屏（单屏/全屏） 多分屏（2*2） 多分屏（3*3） 多分屏（4*4） 播放控制 播放（单个或全部） 暂停（暂停时展示最后一帧画面） 停止（单个或全部） 声音控制（开关/音量调节） 主辅码流切换 辅助功能 屏
阅读更多...
Spring 验证码（kaptcha）

Spring 验证码（kaptcha）

首先引入需要的jar包： <dependency><groupId>com.github.axet</groupId><artifactId>kaptcha</artifactId><version>0.0.9</version></dependency> 配置验证码相关设置： <bean id="captchaProducer" class="com.
阅读更多...
9.8javaweb项目总结

9.8javaweb项目总结

1.主界面用户信息显示 登录成功后，将用户信息存储在记录在 localStorage中，然后进入界面之前通过js来渲染主界面 存储用户信息 将用户信息渲染在主界面上，并且头像设置跳转，到个人资料界面 这里数据库中还没有设置相关信息 2.模糊查找 检测输入框是否有变更，有的话调用方法，进行查找 发送检测请求，然后接收的时候设置最多显示四个类似的搜索结果
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2