业务安全-注册时你要注意哪些逻辑漏洞

admin 2023年1月8日18:25:33安全文章评论6 views707字阅读2分21秒阅读模式

业务安全-注册时你要注意哪些逻辑漏洞



01

修改响应


        修改手机验证码响应结果,绕过验证,进入填写密码环节,达到任意手机号注册效果。

    (1)发送手机验证码,任意输入,进行截取响应的操作。

业务安全-注册时你要注意哪些逻辑漏洞

    (2)被截取响应:

业务安全-注册时你要注意哪些逻辑漏洞

    (3)修改为正确的响应结果,并发送到前端。

业务安全-注册时你要注意哪些逻辑漏洞

     (4)如果存在逻辑漏洞,前端自动进入输入密码等环节,后端此时不再校验验证码结果,则会造成任意手机注册:

业务安全-注册时你要注意哪些逻辑漏洞


02

未校验手机号


        校验手机号A后,填写密码,与手机号B一同提交,未校验手机号,造成任意手机号注册的攻击效果。(相当于越权攻击)


03

其他任意用户注册漏洞


  • 失效的身份认证 验证码默认为空

  • 验证码可爆破 留意时间限制、爆破限制

  • 查看元素中的Network点击发送验证码后,出现正确验证码


04

覆盖注册


  • 邮箱用户名

    • 前后空格

    • 大小写绕过

  • 手机用户名

    • 前后空格

    • +86

  • 用户名

    • 如“admin”和“admin                           xxx” 


05


注册遍历猜解已有账号/手机号


业务安全-注册时你要注意哪些逻辑漏洞


危害:

  • 其中一个是如果系统设置了错误次数会锁死账户,可恶意尝试密码进行锁死;

  • 如果用户名已暴露,则黑客只需尝试密码即可,一般弱用户名都会有弱密码。

  • ……


06

频率攻击


  • 频率型攻击

    • 短信轰炸

    • 邮箱轰炸

  • 修改手机号,耗费厂商短信资源


07

session覆盖


        手机一校验成功后,同一浏览器向手机二发送验证码,不发手机二验证码校验请求,返回手机一界面,进行前端校验绕过(利用两个账户信息)


08

URL跳转


注册成功跳转、注册失败跳转、注册环节跳转


09

http明文传输密码


  • http明文传输密码

  • 前端加密是否可破解(JS代码审计)


10

逻辑无穷,精彩无限





原文始发于微信公众号(火枪手联盟安全团队):业务安全-注册时你要注意哪些逻辑漏洞

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月8日18:25:33
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  业务安全-注册时你要注意哪些逻辑漏洞 http://cn-sec.com/archives/1044618.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: