短信炸弹漏洞
漏洞描述
短信炸弹漏洞是利用平台发送短信的接口未做任何限制的漏洞，不限时无限次或者短时间内多次发送短信验证码到用户手机上，达到轰炸的目的。不管是对于用户还是对于公司，都会造成巨大的损害测试对象的信息我就不公开了，接下来全程打码，学习思路就好。
漏洞利用
0X01：测试对象的信息我就不公开了，全程打码。这也是隐私问题。首先打开要测试的网站，找到注册页面；
0X02：我们可以利用抓包工具，修改拦截数据然后执行，实现短信轰炸的效果,在这里用的是Burp Suite，那我这里就用演示一把,简单粗暴~ 首先打开测试网站的注册页面；输入手机号-获取验证码捕获数据。算了直接上图吧简单明了有序号哦注意看！
0X03：接下来我的手机就收到了无数条短信，在现在的世界里让我的32G手机情何以堪啊... 事实证明还是内存大的手机不怕短信炸弹啊... 笑笑而过... 玩笑嘛
修复方案
通过对此次注册短信验证码漏洞事件的分析和利用，为减少和杜绝此类事件的再次发生，提高安全预警能力，在此提醒业界同仁加强关注日验证码逻辑漏洞的安全细节：
1.设置时间判断，比如60秒内限制发一条
2.限制每个手机号的每日发送次数，超过次数则拒发送，提示超过当日次数。
3.每个ip限制最大限制次数。超过次数则拒发送，提示超过ip当日发送最大次数。
4.限制每个手机号发送的时间间隔，比如两分钟，没超过2分钟，不允许发送，提示操作频繁。
5.发送短信增加图片验证码，服务端和输入验证码对比，不一致则拒绝发送。
作者：六国战车安全团队
网友评论