前言

ASRC搞了個八周年慶，又來了一個交漏洞送衣服的活動。通過以前挖洞的經(jīng)驗(yàn)，感覺某個業(yè)務(wù)細(xì)一點(diǎn)挖應(yīng)該還是有洞的，就回去炒老飯了。

正文

登入處抓包，發(fā)現(xiàn)這里存在一個賬號枚舉，發(fā)現(xiàn)通過爆破不同的username，即通過遍歷手機(jī)號碼得知該手機(jī)號碼是否在該業(yè)務(wù)上注冊過。

未注冊時

注冊過時

這個業(yè)務(wù)點(diǎn)還可以通過手機(jī)號碼接收驗(yàn)證碼登入，因?yàn)榇嬖?0s才能發(fā)送一次的限制所以沒有短信轟炸，但是可以通過抓這個發(fā)送驗(yàn)證碼的包，可以造成一個橫向的短信轟炸。

（這里的測試是否可以通過xff頭等繞過短信發(fā)送頻率限制的插件是coolcat師傅寫的burpFakeIP)

這里收到的驗(yàn)證碼為4位數(shù)，然后每個驗(yàn)證碼可以使用3次，還是存在一定爆破的可能性，相當(dāng)于可以任意登入賬戶，或者先枚舉一些用戶，然后再批量隨機(jī)爆破驗(yàn)證碼。

一個burp intruder跑發(fā)送驗(yàn)證碼的  比如一個跑1371234XXXX

一個burp intruder跑驗(yàn)證驗(yàn)證碼的  然后這個跑驗(yàn)證碼為任意一個四位數(shù)的驗(yàn)證碼 跟著上面跑

理論上發(fā)一次包 跑出來的概率是萬分之一

而且驗(yàn)證碼可以重復(fù)使用

登入進(jìn)去查看信息，看burp里面的包”registerTime”:”2020-06-30應(yīng)該就是剛剛爆破的時候創(chuàng)建的賬號，默認(rèn)在沒有創(chuàng)建過賬號的情況下，爆破成功驗(yàn)證碼就會自動創(chuàng)建賬號，

總結(jié)

以前倒是遇到過不少四位數(shù)驗(yàn)證碼爆破的，但是這種可以結(jié)合短信遍歷，一個短信驗(yàn)證碼只能驗(yàn)證三次的，最后能成功利用的還是第一次遇到，關(guān)鍵還是這里不存在圖片驗(yàn)證碼或者行為驗(yàn)證碼可操作性強(qiáng)了很多。

審核編輯：劉清