金融行业平台的针对性防御渗透测试

短息码验证完后，直接注册写数据库，通过修改phoneNum的值可以实现批量注册账号：

通过修改phoneNum的值为15527xxxx96、15527xxxx97可成功注册这两个账号:

该漏洞出现的原因在于后台未校验验证码的使用次数和时间，只校验了其准确性，因此可被利用进行多次注册。

代码防护

目前遇到的大部分恶意注册类的安全漏洞均为验证码可被多次使用造成，我们建议后台对验证码的使用进行限制，任何的验证码应为一次性，防止验证码被多次使用。

2.5恶意短信

漏洞描述

恶意短信是一种类似于DDoS的攻击方式，他是利用网站的短信相关的功能，对用户的手机进行长时间的短信轰炸，导致手机瘫痪。除了单纯的短信轰炸之外，我们在测试过程中也发现，部分金融交易平台对所发送的短信内容也并没有进行限制，导致可被利用进行短信欺诈。

案例

短信轰炸

在测试的过程中，我们发现众多的金融交易平台仅在前端通过JS校验时间来控制短信发送按钮，但后台并未对发送做任何限制，导致可通过重放包的方式大量发送恶意短信。如某交易平台的手机注册处就出现过该类型漏洞。利用fiddler抓取数据包，并进行重放可以绕过前端的限制，大量发送恶意短信。

任意短信内容编辑

在某平台的修改绑定手机功能就曾出现过可编辑短信内容的问题。

点击“获取短信验证码”，并抓取数据包内容，如下图。通过分析数据包，可以发现参数sendData/insrotxt的内容有客户端控制，可以修改为攻击者想要发送的内容

将内容修改“恭喜你获得由xx银行所提供的iphone6一部，请登录http://www.xxx.com领取，验证码为236694”并发送该数据包，手机可收到修改后的短信内容，如下图：

该类型漏洞对系统的影响不大，但若被攻击者利用进行短信欺诈，将严重影响平台的声誉，甚至可能会惹上法律纠纷。