---

图片验证码（安全意义不是很大）

口令存在爆破，接口枚举调用，任意用户注册等安全问题

OCR简单图片验证码识别：https://github.com/sml2h3/ddddocr

https://github.com/smxiazi/xp_CAPTCHA

基于ddddocr的burp插件：https://github.com/smxiazi/NEW_xp_CAPTCHA

https://github.com/f0ng/captcha-killer-modified

---

案例 – 图片验证码

图片验证码识别

ddddocr图片验证码识别方案

更复杂的功能需要自己写代码使用：如图片地址是时间戳，或图片地址是数据流

NEW_xp_CAPTCHA调用ddddocr实现验证码识别

弱口令登录爆破

burp爆破时同时使用NEW_xp_CAPTCHA插件自动识别图片验证码

设置最大并发请求为1，否则会验证码错位

验证码重复使用

输入正确的验证码抓包，密码错误会提示“密码错误”，验证码错误会提示“验证码错误”。尝试在重放器中修改密码再次发送，发现还是“密码错误”，则出现验证码复用，可以不比理会验证码直接爆破

验证码删除、置空

删除验证码相关字段或置空，看是否校验

滑块验证码-宏命令

包括sign绕过 在JS逆向中有涉及Yakit热加载绕过等

https://blog.csdn.net/shuryuu/article/details/104576559

同理也可以适用在Token，sign在页面代码中自动获取自动填入后绕过验证

修改验证码宽高

数据包中某些参数控制显示的验证码宽高，修改了很大会占用服务器资源，造成dos、ddos攻击（src挖掘禁止使用）

---

短信验证码

目标密码找回，任意用户登录，敏感操作验证安全问题

验证码劫持

验证码发送时多发一个或若干个

验证码发送时，抓包修改相关字段，如phone=xxx，改为phone=xxx,phone=yyy，以相关数据包的格式写（json就再写一遍），是否可以把验证码发到两个手机号上

验证码爆破

四位或六位尝试爆破

验证码复用

手机号A收到发送的验证码，这个验证码用于手机号B登陆

验证码不校验

随便输一个或不输，直接通过，逻辑写的有问题

验证码数据包中flase改为true

验证码明文回显

数据包回显包中泄露

万能验证码

8888，6666等，可以在爆破时发现

短信接口测试

短信轰炸

自动测试项目：https://github.com/yuziiiiiiiiii/SMS_Bomb_Fuzzer

---

本节知识点

WEB攻防-图片验证码-识别&复用&绕过&类型

WEB攻防-短信验证码-劫持&爆破&复用&回显

WEB攻防-短信验证码接口-滥用检测&项目插件