逻辑漏洞之绕过验证漏洞演示

admin

# w/ |3 G, j) `. z / e4 q$ j! E# o& R , j2 j. E; I+ o3 ? + U6 q( Y5 K5 a1 r# G8 u$ {, \8 {5 D

; p3 m0 ~/ d; e9 Z. [# _+ U
本文中提供的例子均来自网络已公开测试的例子，仅供参考。

本期带来绕过验证漏洞。为了保障业务系统的安全，几乎每个系统都会存在各种各样的验证功能。常见的几种验证功能就包括账号密码验证、验证码验证、JavaScript数据验证及服务端数据验证等等，但程序员在涉及验证方法时可能存在缺陷导致被绕过，于是斗哥总结了以下几种绕过验证的姿势和大家一起讨论讨论~

2 Y' Q" ?9 r/ T2 Z. s0 W- h 6 ]5 v" c2 [# C2 K3 Y3 t- M- z- W

6 }. V: h0 j$ [$ U/ a6 n

, v( S' ` \ t) l! d' E( J & c; k7 @1 d: H5 j

, Q3 R: ]2 [- L( l5 {3 r
客户端校验绕过
7 {! a# }; F+ S$ u! e
客户端校验是常见的一种校验方式，也就是在客户端校验用户的输入，将校验结果作为参数发送至服务端，或利用前端语言限制用户的非法输入和操作。面对此类的校验方法可以通过修改前端语言或者在传输中对参数进行篡改来绕过验证。

% @! b% S2 D, p1 F7 s- i) a举个栗子：
1 J* t5 m) @1 J/ I# s
a). 某系统需要购买才能观看视频，不同的课程以ID划分。

/ E7 m# a- x/ Z- M; w7 F3 i' {

2 g, [5 K$ f+ c/ p% D- K" w

) n3 F/ c% h- R7 L& ^* F6 ?: ?9 Eb).  发现是否付费只靠前端js控制，更改courseID就可以看到不同的课程，recordURL就是视频播放的链接，无需登录即可播放。

1 K. c, N: S! e1 n5 D9 d, S

c). 根据播放地址中的videoCode，可获取视频下载地址:
1 L) W3 {" d5 \; P4 g( }8 x
http://*.*.*.*/v3/resource/video/queryurl?jsoncallback=cb&quality=3&audioIndex=0&types=1&videoCode={videoCode}
5 t9 u0 r1 ]1 t9 y8 w
所得urls为视频下载地址。

+ R7 e D( x3 t2 h7 L

/ ^" U6 d, D8 [4 D! j + A# W3 P- O/ F+ v! a* |6 W5 Y

& C, F, }7 U" r9 q) I v) Ad). 通过脚本，可将全站视频下载下来。
% Y( j8 W/ X9 q
5 x* J6 C7 _4 T

7 O8 Q( B7 \) L

3 z% W3 n5 q4 v; z. G% [+ j

6 ]* {1 l; Z C4 ?/ r客户端验证信息泄露
) @, t4 T7 D( C- T$ X. y
程序员在编写验证程序时有可能会将验证信息直接泄露到客户端，攻击者就可以通过分析服务端的返回数据直接获得关键的验证信息从而完成验证。

举个栗子：

某免费wifi连接时需要使用发送到手机的密码进行验证，抓取发送密码的数据包时，发现密码返回客户端，导致任意全网账号可以登录联网。
# R, G$ x5 ^4 ]8 R* ~8 S+ N
+ V: x9 f2 _) V% v/ w

& @* |$ ^" G2 s$ a8 ~: y

* ]: m5 a* O3 t* l$ P" N* [

6 d. L2 i, Q4 G/ R客户端流程控制绕过

) v# W2 n% S( i/ p2 j5 C0 b程序员在编写验证程序时有可能会验证结果返回到客户端，由客户端根据服务端提供的验证结果进行下一步操作，攻击者可以通过篡改验证结果或直接执行下一步操作实现绕过。

& p( A E, b: j p. J举个栗子：

! y a8 A" _3 X- ka). 某系统重置密码需要三个步骤，首先要输入图片验证码。
) T l9 d. l K1 [: `' ~% k* \+ _
+ Z9 n8 c( f0 q4 f

' `1 I/ |' {9 |& J% O, R

3 B7 m" L Y5 Q1 |3 M

& _. v8 N* U b8 {2 L7 {9 K3 g

: q1 D) ?6 d& g- k0 |" F/ V
1 ?' J6 p, U$ H! b* G% M$ ^) ?: {b). 然后需要通过短信验证码验证身份。
# c9 l, O% l5 @3 I. W
. A6 @% o. P' i+ I2 }: `: |9 T

0 ^5 W' _5 \' @) t6 x8 x8 |8 P

8 K9 q5 U5 S. `! G

c).访问http://*.*.*.*/a/user/findPasswordSetp 直接跳到重置密码的页面。

, P. w, i2 I( E$ s4 j+ U3 H" J

3 M4 |: d* C3 s6 \

' o1 V2 S* p; x9 O4 N& R8 ~/ }4 Cd). 可成功修改密码密码。
8 n3 h9 ^% D, I2 ^

! {5 g' Y7 {# p8 }

- U0 u' [$ g9 `' r- K

操作目标篡改绕过

) j$ W2 O1 h( S$ ^, w( Z如果某操作采用了连续身份校验机制或身份校验过程与操作过程分离，可以尝试在身份验证过程中替换身份校验对象或操作对象实现绕过验证。

9 L1 @& g. C {举个栗子：
' F6 D2 ]7 m& x9 ]
a). 修改某系统的绑定手机。
O5 K% H8 z' u- t( r' K6 ]1 \
" E C. A! a' | " r8 h7 Z, H# v. M/ X

b). 选择免费接收短信校验码修改。

! j# C( H9 m/ p

* z" G) ?0 b$ y

c). 将修改的手机号改为自己的手机号码。
/ n; B2 O# t, k* y4 _
! I, Q/ a7 f. h7 m

& \% o2 g1 q6 A6 X' K

. w9 X6 K, e+ H# }7 Q$ @' ^

" s2 N" h6 `8 I% w+ Ed). 通过修改的手机号码收到的校验码修改手机号。

$ t4 [% i5 r: o2 _ ; R% t% ?! _; |9 F3 W

! a j5 o. _! t7 O( M

# s- m8 {$ |9 z# q8 O3 _e). 发现可以成功修改成新的手机号。

' j& K6 b) P5 U1 n

, r' h! T2 l8 L1 F( I

' n# v5 B! F' p# L, \

; z1 i! d7 k. X r, Q
参数篡改

- m7 B+ y! @& D* v6 ^; o* d程序猿小哥哥在编写验证程序时有可能会对验证码字段进行正确性校验，但当验证码字段不存在或为空时就直接通过校验。

举个栗子：

" T/ g4 A4 `$ @# H* N* la).某系统存在绕过验证漏洞，抓取登录的数据包。
. n$ j( W Z# ^+ w

3 o$ T, z/ s+ ~8 X& I' B5 z

9 i) @9 L I3 M/ A ) B( Z: q; r3 k! }

b).删除验证码字段（securityCode）进行爆破。

( u' c8 J8 I8 X& |8 T! j

: o6 @$ h: m' T3 w9 I2 u

8 O8 L6 `8 U' ]( {$ `% r% e+ P+ [
$ T. ]" j' L# O" Fc). 爆破成功，并可以使用爆破出来的账号密码进行登录。

# v8 Y0 Q5 Q1 ?

8 \8 R- {5 N; Q( n% c7 r 3 q: \0 J& W7 k4 v$ |8 O! @

, l1 g0 _( `) W$ m   ; W+ L% [) F- \2 j& B- {# S6 M( U

1 w5 T) @7 p& b& \6 L7 n* {

" T0 X; j: {( p. T" e8 O" V; C

0 M P1 S# F/ G4 I2 x1 s$ _

7 c7 V2 W& W; z
5 C' V ]5 v! g i3 ]0 S辅助验证功能绕过
; Y! L+ E( b2 J7 q2 g
6 s; `8 ?1 d% \8 u6 x2 n1 U8 O9 e为了验证用户身份或者避免攻击者使用自动化工具进行批量操作，应用程序可能会采用辅助验证功能，常见的辅助验证功能包括图片验证码、短信验证码、邮箱验证，这些功能在设计时如果存在缺陷则可以被绕过，导致辅助验证功能失效。

8 e1 L" K" N( p; b2 R# L举个栗子：
- ]$ T5 V. Q2 e/ x
a). 访问某系统，一开始页面无验证码。
% L+ h7 K. F( I9 }
% q5 Q, G6 Z' u, k+ m

2 z( O* r$ _+ e: m 4 x- k- M1 P/ d+ _

( L6 W0 q& {% u+ A: g/ ub). 输错一次之后，出现验证码。
: E: q. ]4 k1 T4 X
/ R3 p l& C8 G/ d& n + J. U3 l) x% |2 B0 L

3 j+ b6 ^% K4 c, R' Y& T* K% q$ hc). 尝试进行爆破，抓取第一次无验证码的数据包，发现会提示需要验证码。

) c2 R d/ V2 S4 a3 I6 T

; j" C8 s! B1 y' w% |$ k * `: `+ D# X" N0 F1 i

" M0 n' k; Q& [" n. @$ ?$ C
( b0 h1 \, d) ^- id). 多次尝试之后发现，验证码是通过cookie中的PHPSESSID来判断的。
4 h4 V1 C. [1 W6 V
) u$ {( w( l$ m! t

" V8 ~0 F, l8 a+ ^

" W( H. l- K$ e5 n, f$ D, p

. V9 {. C; d+ |

e). 修改PHPSESSID后成功绕过验证码限制。

- D7 Z/ m7 |- P8 B1 w

+ l, I, A) ~3 t/ n" x

$ ^2 }5 E, U P

, e+ R1 _" q% |, mf). 成功爆出账号。
% n1 m+ Z3 _. ^

+ l: }! g1 u: p0 Y0 W- O

- i L% e9 C5 t+ s g, S, j

* v9 B. h% p1 c; k5 g/ X8 n

* Z. S) d9 a0 o8 X& I

% I: {4 S" l' ]4 d好啦，斗哥对于绕过验证的总结就到这里啦，对于绕过验证的修复斗哥有一点点建议：

& o4 z; l" r; `: e1 t+ S0 U1.所有验证在服务端进行，验证问题的答案不能以任何形式返回客户端中（如图片验证码答案、短信验证码、验证问题答案等）。

2.验证结果及下一步跳转操作由服务端直接进行。
$ n+ L8 e) t2 x, Y b3 u
3.应尽可能避免采用连续身份验证机制，无论采用何种验证机制，只有当所有的数据输入以后，才进行身份验证数据的验证。 7 E4 k& Q- k* @1 f

o0 h& X; C7 q. g" x