验证码暴力破解介绍
通常在网站的用户注册、密码找回等页面会设计有手机或邮箱验证码进行验证。主要为了贯彻落实上网实名制以及保障用户帐户的安全性。当这些验证码具有一定的规律性,并且没有做好对应的防护措施时,会导致攻击者通过穷举或其它方式猜解岀验证码,从而对目标系统造成危害。危害
恶意注册（任意用户注册、批量注册无用账户等）重置任意用户密码
漏洞原理
短信验证码，下发流程：
测试示例
案例
通过暴力破解短信验证码实现重置任意用户密码
测试方法
1、接收验证码,观察验证码是否有规律性(如纯数字或可预测的字母)
2、多次填写验证码提交,观察是否有时效性或失败次数限制
3、通过工具暴力猜解验证码
测试
第一步： 在找回密码处，
第二步：抓取短信验证码的数据包
第三步：设置数据字典，进行暴力破解尝试
第四步 查看返回数据包
第五步 使用成功的验证码，成功进入下一步
防御方案
1、提高验证码的复杂度(如:设为6位以上数字和字母的组合)
2、限制单位时间内验证码输入错误的次数(如规定10分钟内连续输错5次就锁定10分钟)
3、缩短验证码的时效性(一般短信验证码为5分钟内有效)
摘抄
过去了一个没什么了不起的一天，又可能迎来没什么特别的一天，但人生值得一活。
满满都是后悔的过去，还有让人不安的未来，
不要因为那些毁了现在，
爱每一个今天吧。耀眼一点，你有资格。
——《耀眼》
