商丘做网站,商丘网站优化,商丘网络推广,商丘网络公司
当前位置:首页 > 新闻资讯 > 建站经验 >

「宁陵做网站」网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

发表日期:2018-08-26 13:45聚圣源浏览次数: 本文关键词:seo,宁,陵做,网站,优化,漏洞,检测,之,用户,密码,

  我们SINE安全在对网站,以及APP端进行网站安全检测的时候发现很多公司网站以及业务平台,APP存在着一些逻辑上的网站漏洞,有些简简单单的短信验证码可能就会给整个网站带来很大的经济损失,很简单的网站功能,比如用户密码找回上,也会存在绕过安全问题回答,或者绕过手机号码,直接修改用户的账户密码。

  在短信炸弹,以及用户密码找回的网站漏洞上,我们来跟大家分享一下如何利用以及如何防范该漏洞的攻击。

「宁陵做网站」网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

  我们来看下之前对客户网站进行的网站安全检测的时候我们发现到的短信炸弹漏洞,由于客户反映注册网站会员的时候会收到好几条重复的验证码短信,甚至福清多次点击提交也会导致收到好多条验证码信息,随即我们SINE安全对其进行详细的安全检测,果然发现了问题,对注册会员的时候确实存在多次发送短信的情况,我们对提交的数据,GET,POST方式进行多次的安全测试,发现post数据的时候,在smg值后面随意添加任何参数,即可导致网站发送验证码短信到用户手机上,可以发送无数条短信,如果被攻击者利用,那带来的损失无法估量。

「宁陵做网站」网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

  对于这次检测出来的短信炸弹漏洞,首先分析代码,从之前程序员写的代码里看出,在用户登录这个过程代码里没有进行详细的安全过滤,导致输入用户名密码就可以发送验证码,再一个就是程序员设计的过程中将测试的手机号码都存放于数据库里,导致很多正常的用户收到测试时候的短信验证码。再一个漏洞产生的原因,就是程序代码里设计的初始化密码为123456,导致在找回密码重置密码的时候就会进行写入数据库,攻击者利用撞库就可以很容易的猜测到用户的密码。

  那么该如何防范短信炸弹漏洞呢?

  从网站安全的角度来分析,以及网站安全部署层面上看,在短信平台上可以做到防止短信无数发送,现在阿里云的短信平台,可以做到防止多次发送短信到用户手机,一个手机号一天只能接收5次短信的安全限制,再一个就是从程序代码里进行安全加固,对注册的会员,进行判断,如果是一个IP,只能发送一条短信。用户点击获取验证码前输入图文验证码,才能发送,间隔时间60秒才能发送一条短信。在整体的网站安全检测中我们要提前告知客户,我们在进行操作什么,网站漏洞扫描,网站漏洞利用,数据库写入删除等比较重要的操作,都要事先跟客户告知,提前对网站的数据进行整体的安全备份,包括数据库的备份,网站源代码的备份。在渗透测试当中我们要先进行安全评估,整体的安全检测会不会给用户带来影响以及损失,尽可能的不要产生影响客户网站访问,以及业务正常运转。下一篇文章跟大家分享用户密码找回漏洞的利用与分析。

  本文来源:http://www.sinesafe.com/article/20180820

 

如没特殊注明,文章均来自网络! 转载请注明来自:http://www.jushengyuan.com.cn/news/jzjy/10346.html

网站设计案例推荐

热门文章

站长工具综合查询里面SSL证书不...

SSL证书不安全是怎么回事?但是点进去这个提示后,显示的是别人的tdk是不是被劫持或者被黑了?...

日期:2018-03-27 浏览次数:2021

简洁而实用的版权信息可增色网...

打开网站,人们自然会从上往下浏览,首先映入眼帘的一定是BANNER主视觉,然后是网站主体内容部分。相比较而言,注意到网站底部版权信息的浏览者确实不多,但这并说明网站版权信...

日期:2018-09-20 浏览次数:1898

网站设计需要注意的3点问题...

对于网站设计来讲会受到很多因素的影响,而且不同类型的网站,在设计时需要体现的元素也不一样,比如说对于一个企业网站更想体现出品牌以及产品的特点,主要是对产品、企业信...

日期:2018-02-12 浏览次数:1820

企业网站为什么要改版 改版选择...

网站改版,是每个建站企业必须面临的工作。相信也有不少站长问,已经做好的企业网站,为何还要大费周章重新进行改版设计呢?下面小编就来给大家说说,企业究竟为什么要改变,并...

日期:2018-03-26 浏览次数:1354

永城网站制作:模板建站不可不...

随着互联网建站尤其是自助建站热潮不断高涨,建站行业涌现出越来越多的自助建站平台,这些平台普遍都提供网站模板可选。...

日期:2018-04-30 浏览次数:950

相关文章

「德庆县seo」国内网上商城系统...

在海内,电子商务是企业拓展网上贩卖渠道绕不外去的一道坎,每个从事电子商务的企业都有一个做大做强的空想,但没有一款成熟且强...

日期:2019-07-06 浏览次数:60

「陆丰市seo」设计对移动端网站...

计划对移动端网站排名优化的影响有多大?手机网站优化 是要从网站的计划和定位开始举行,紧张的是简便易用,切忌庞大花哨,令用户...

日期:2019-07-06 浏览次数:60

「象山县seo」移动端网站优化要...

随着移动网络和流量的不停生长,现在移动端的用户流量也渐渐逾越了PC端,现今在做PC端优化的同时,也应该器重移动端的网站优化。但...

日期:2019-07-06 浏览次数:61

「墨江哈seo」网站搜索设计的总...

一个没有搜刮功效的网站,大概很简朴,而对大多数的网站运营者而言,都想运营一个不简朴的网站,以是,当我们计划把一个网站运营...

日期:2019-07-06 浏览次数:60

「汉阴县seo」告诉你手机网站优...

以简约为主,大部门的手机网站和pc网站比力,内容不及pc一半乃至更少,通常来说,手机网站在欣赏时要比pc网站的速率慢,网页工具太...

日期:2019-07-06 浏览次数:60

随机推荐

不赚钱的企业网站,即便免费又...

那些年电商购物车踩过的坑...

「天津网络公司」微商城开发定...

Web服务器、应用程序服务器、...

网站建设难度大吗?效果好吗?...

「淅川县网站建设」企业网站建...