SRC短信验证码漏洞挖掘技巧
个人认为src挖洞成就高低与个人经验和付出的时间成正比，此贴意在汇总t00ls各路大神挖洞tips。可以是一个功能点的非常规测试思路，也可以是某种类型漏洞的非常规测试思路。
如：
1、短信轰炸漏洞tips
20230419 汇总了下各位师傅的评论思路，感谢各位师傅
20230516 添加条件竞争，感谢各位师傅
双写
前后添加空格
加逗号
加号
多个加号
@
添加截断符号
xff判断绕过
+86
00
0086
条件竞争
添加换行关于作者
评论63次
还是有的，我也是听了2022年TSRC颁奖典礼大佬分享的技巧学到的。后来挖到了这样的漏洞，下面是利用逗号绕过发送频率限制
还有 空格、换行、tab键等字符，%20、%0a、%0b、%0c、%0d 也可以绕过
还有一种，通过短信接口未作条件竞争限制，可以用条件竞争的方法，一次发多个短信。
短信平台大部分都设置限制了。
挺好奇满足这种漏洞的后端代码是如何编写的
有一个字典就是 + ++ +++ ++++ 。。。。。。 100个➕
还遇到过高并发轰炸，一次触发几十个请求，后台还未进入限制流程，触发短信发送。
还真没遇到过改这个能实现的
坐等github信息上传敏感信息，然后提一波src
可以监控吗，机器人啥的
又学到了,感谢分享
短信轰炸xff判断绕过还没有遇到过诶
总结起来也就是几点： 0x01 利用登录处达到短信轰炸 0x02 利用注册处&找回密码处进行轰炸 0x03 利用修改处进行轰炸 0x04 利用反馈处进行轰炸 0x05 利用某些活动 0x06 利用独特功能进行轰炸页面进行轰炸 xi望大佬能补充一下
坐等github信息上传敏感信息，然后提一波src
感谢师傅的分析，至今还没挖到过短信轰炸
牛啊，学到了，感谢分享
感谢分享
这种骚套路一般对应后端的奇葩代码
多久更新第二个啊
师傅牛 感谢分享
空格 换行 双写参数 加.等或者用并发插件。万物皆可并发
之前一直以为是由服务器做的限制呢
发送短信的平台做过配置的话，这个可以绕过代码逻辑，返回ok，但收不到信息
遇到过添加空格的情况