SRC短信验证码漏洞挖掘技巧

2023-04-18 15:40:38 63 6788 3


个人认为src挖洞成就高低与个人经验和付出的时间成正比,此贴意在汇总t00ls各路大神挖洞tips。可以是一个功能点的非常规测试思路,也可以是某种类型漏洞的非常规测试思路。
如:
1、短信轰炸漏洞tips
发送验证码时,F12控制台调试,可通过分析js代码,查看手机号次数发送逻辑,以便分析使用何种字符绕过。
20230419 汇总了下各位师傅的评论思路,感谢各位师傅
20230516 添加条件竞争,感谢各位师傅
双写
前后添加空格
加逗号
加号
多个加号
@
添加截断符号
xff判断绕过
+86
00
0086
条件竞争
添加换行

关于作者

Anonymous0篇文章0篇回复

We are Anonymous!

评论63次

要评论?请先  登录  或  注册
  • TOP1
    2023-4-18 16:38

    还是有的,我也是听了2022年TSRC颁奖典礼大佬分享的技巧学到的。后来挖到了这样的漏洞,下面是利用逗号绕过发送频率限制

  • TOP2
    2023-6-12 13:44

    还有 空格、换行、tab键等字符,%20、%0a、%0b、%0c、%0d 也可以绕过

  • 23楼
    2023-4-19 15:27

    还行,这些也就能对付那些开发不严谨的程序员

  • 22楼
    2023-4-19 14:48
    damov

    短信我之前遇到过一个,你加了一个时间戳就过了

    1

    师傅是在哪里加时间戳绕过的,是请求体自带的相关参数吗,还是说手机号前后呢

  • 21楼
    2023-4-19 12:39

    短信我之前遇到过一个,你加了一个时间戳就过了

  • 20楼
    2023-4-19 10:45

    , + 00 0086 双写 都可以试试

  • 19楼
    2023-4-19 10:37

    逗号 特殊字符 空格 +86 换行 都可以试试看

  • 18楼
    2023-4-19 10:36

    谢谢分享啊,骚思路学到了。

  • 17楼
    2023-4-19 10:13

    censys这个也算思路? 不都是title cert这些手法么

  • 16楼
    2023-4-19 10:05

    短信轰炸漏洞tips

  • 15楼
    2023-4-19 09:56

    碰到过多写给多个手机号发送验证码,比如说他的参数是“phone=18000000000”,一般我们是用逗号或者其他符号去写多个号码,碰到过这样的“phone=18000000000&phone=18000000001”,两个手机都可以收到验证码。

  • 14楼
    2023-4-19 09:41
    ggboom993

    从没遇见过前端验证的短信轰炸...

    1
    lrfca

    还是有的,我也是听了2022年TSRC颁奖典礼大佬分享的技巧学到的。后来挖到了这样的漏洞,下面是利用逗号绕过发送频率限制

    2
    ggboom993

    这种符号组合手机号绕过短信验证的案例很多呀,我说的是前端验证没见过。如果是前端验证你为什么还用burp加逗号呢 emm,不如思考下一个后端验证逻辑为什么会写到js里。。

    3

    谢谢师傅!我之前的理解可能有误,应该是为了用户体验设置的前端验证逻辑吧,实际上是后端验证,只不过可以通过分析js代码弄清楚验证逻辑。这样理解对吗?

  • 13楼
    2023-4-19 09:08
    ggboom993

    从没遇见过前端验证的短信轰炸...

    1
    lrfca

    还是有的,我也是听了2022年TSRC颁奖典礼大佬分享的技巧学到的。后来挖到了这样的漏洞,下面是利用逗号绕过发送频率限制

    2

    这种符号组合手机号绕过短信验证的案例很多呀,我说的是前端验证没见过。如果是前端验证你为什么还用burp加逗号呢 emm,不如思考下一个后端验证逻辑为什么会写到js里。。

  • 12楼
    2023-4-19 09:05

    之前还碰到过用xff来判断每个IP的次数

  • 11楼
    2023-4-19 02:12

    短信轰炸爆破的时候,还可以在前面或者后面爆破空格,或者加截断绕过之类的

  • 10楼
    2023-4-18 23:15

    前端js代码做的短信轰炸学到了

  • 9楼
    2023-4-18 22:50

    感谢分享 这就收藏了

  • 8楼
    2023-4-18 22:22

    碰到过+、@、多个+号绕过的,空格也可试下

  • 7楼
    2023-4-18 20:13

    之前一直以为是由服务器做的限制呢

  • 6楼
    2023-4-18 17:32
    bkq98

    原来还能这样绕过学到了收藏感谢师傅分享

    1

    互相学xi,师傅觉得好的话,可以顶贴,让更多的人看到,发表自己的思路。

  • 5楼
    2023-4-18 17:14

    原来还能这样绕过学到了收藏感谢师傅分享

  • 4楼
    2023-4-18 16:57

    其实方法很多哇 我之前就碰到很多种 双写 空格 加逗号 字符 等等都能绕过 不行的话那就是不存在。