金融行业平台的针对性防御渗透测试

该漏洞出现主要的原因在于开发人员在第二步设置新密码时服务端没有对手机验证码进行二次校验，导致当攻击者可以利用修改返回值的方式直接跳转到设置新密码页面，然后重置用户的密码。

短信验证码暴力破解

部分金融交易平台为了用户登录方便会设置短信验证码登录功能，但并未对验证码的登录错误次数进行限制，导致可利用验证码爆破的方式强行登录账号。在某证券交易平台就曾出现过该安全问题。

该平台使用6位数字随机验证码进行登录，但并未对登录错误次数和验证码失效时间进行限制，导致可以暴力破解该验证码强制登录账号。如下图：

同样是通过返回值的length字段进行判断是否登录成功。6位字段的爆破需要较长的时间，但4位验证码的爆破时间最慢也仅需要约5分钟左右。

代码防护

针对案例一中的漏洞，我们建议在第二步修改密码时服务端再次验证手机验证码，部分平台所采用的做法是，第一步验证码提交成功后，将验证码隐藏在一个“hidden”表单中，并在第二步修改密码中进行提交，服务端再次验证短信验证码，保证准确性，同时对验证码的错误次数进行限制，当验证错误超过特定次数，当前验证码无效。

针对案例二中的漏洞，我们同样建议随机验证码设置错误次数限制，当验证错误超过特定次数，当前验证码即无效。

2.4恶意注册

漏洞描述

恶意注册，是指攻击者利用网站注册功能的安全漏洞，注册大量的垃圾账号，导致系统增多大量无用数据。一般网站开发者为了防止恶意注册的行为，在注册页面均会在加入一些需要人工输入的步骤，比方说短信验证码，邮箱验证等。但是在对金融平台测试的过程中，同样也发现了部分验证功能可被绕过。

案例

注册数据包重放绕过验证码

部分金融交易平台为了保证注册用户的真实性，往往都会要求验证手机，并通过发送验证码的方式来保证注册账号并非僵尸账号，但是部分平台的验证码可被多次重放，导致可注册大量垃圾账号，在某交易商城的注册功能就存在该漏洞，下图为注册时需要给手机发送验证码的数据包：