商丘做网站,商丘网站优化,商丘网络推广,商丘网络公司
当前位置:首页 > 新闻资讯 > 建站经验 >

「宁陵做网站」网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

发表日期:2018-08-26 13:45聚圣源浏览次数: 本文关键词:seo,宁,陵做,网站,优化,漏洞,检测,之,用户,密码,

  我们SINE安全在对网站,以及APP端进行网站安全检测的时候发现很多公司网站以及业务平台,APP存在着一些逻辑上的网站漏洞,有些简简单单的短信验证码可能就会给整个网站带来很大的经济损失,很简单的网站功能,比如用户密码找回上,也会存在绕过安全问题回答,或者绕过手机号码,直接修改用户的账户密码。

  在短信炸弹,以及用户密码找回的网站漏洞上,我们来跟大家分享一下如何利用以及如何防范该漏洞的攻击。

「宁陵做网站」网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

  我们来看下之前对客户网站进行的网站安全检测的时候我们发现到的短信炸弹漏洞,由于客户反映注册网站会员的时候会收到好几条重复的验证码短信,甚至福清多次点击提交也会导致收到好多条验证码信息,随即我们SINE安全对其进行详细的安全检测,果然发现了问题,对注册会员的时候确实存在多次发送短信的情况,我们对提交的数据,GET,POST方式进行多次的安全测试,发现post数据的时候,在smg值后面随意添加任何参数,即可导致网站发送验证码短信到用户手机上,可以发送无数条短信,如果被攻击者利用,那带来的损失无法估量。

「宁陵做网站」网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

  对于这次检测出来的短信炸弹漏洞,首先分析代码,从之前程序员写的代码里看出,在用户登录这个过程代码里没有进行详细的安全过滤,导致输入用户名密码就可以发送验证码,再一个就是程序员设计的过程中将测试的手机号码都存放于数据库里,导致很多正常的用户收到测试时候的短信验证码。再一个漏洞产生的原因,就是程序代码里设计的初始化密码为123456,导致在找回密码重置密码的时候就会进行写入数据库,攻击者利用撞库就可以很容易的猜测到用户的密码。

  那么该如何防范短信炸弹漏洞呢?

  从网站安全的角度来分析,以及网站安全部署层面上看,在短信平台上可以做到防止短信无数发送,现在阿里云的短信平台,可以做到防止多次发送短信到用户手机,一个手机号一天只能接收5次短信的安全限制,再一个就是从程序代码里进行安全加固,对注册的会员,进行判断,如果是一个IP,只能发送一条短信。用户点击获取验证码前输入图文验证码,才能发送,间隔时间60秒才能发送一条短信。在整体的网站安全检测中我们要提前告知客户,我们在进行操作什么,网站漏洞扫描,网站漏洞利用,数据库写入删除等比较重要的操作,都要事先跟客户告知,提前对网站的数据进行整体的安全备份,包括数据库的备份,网站源代码的备份。在渗透测试当中我们要先进行安全评估,整体的安全检测会不会给用户带来影响以及损失,尽可能的不要产生影响客户网站访问,以及业务正常运转。下一篇文章跟大家分享用户密码找回漏洞的利用与分析。

  本文来源:http://www.sinesafe.com/article/20180820

 

如没特殊注明,文章均来自网络! 转载请注明来自:http://www.jushengyuan.com.cn/news/jzjy/10346.html

网站设计案例推荐

热门文章

站长工具综合查询里面SSL证书不...

SSL证书不安全是怎么回事?但是点进去这个提示后,显示的是别人的tdk是不是被劫持或者被黑了?...

日期:2018-03-27 浏览次数:1924

简洁而实用的版权信息可增色网...

打开网站,人们自然会从上往下浏览,首先映入眼帘的一定是BANNER主视觉,然后是网站主体内容部分。相比较而言,注意到网站底部版权信息的浏览者确实不多,但这并说明网站版权信...

日期:2018-09-20 浏览次数:1889

网站设计需要注意的3点问题...

对于网站设计来讲会受到很多因素的影响,而且不同类型的网站,在设计时需要体现的元素也不一样,比如说对于一个企业网站更想体现出品牌以及产品的特点,主要是对产品、企业信...

日期:2018-02-12 浏览次数:1809

企业网站为什么要改版 改版选择...

网站改版,是每个建站企业必须面临的工作。相信也有不少站长问,已经做好的企业网站,为何还要大费周章重新进行改版设计呢?下面小编就来给大家说说,企业究竟为什么要改变,并...

日期:2018-03-26 浏览次数:1343

永城网站制作:模板建站不可不...

随着互联网建站尤其是自助建站热潮不断高涨,建站行业涌现出越来越多的自助建站平台,这些平台普遍都提供网站模板可选。...

日期:2018-04-30 浏览次数:940

相关文章

「夏邑SEO」企业为什么要开发小...

前段时间, 青州 微信发布的《2018年小程序生态进化报告》显示:目前微信小程序的累计用户数已突破6亿,2018年6月同比增长约16倍,2018年6月底微信小程序总量达100万。 根据预测,截...

日期:2018-10-20 浏览次数:86

「辽宁网站建设」网站title标题...

月薪5千到5万 这些项目才是你的未来 国庆假日期间我们Sine安全接到众多网站站长求助网站标题被改导致在百度搜索中百度安全中心提醒被拦截,导致网站正常用户无法浏览网站被跳转到...

日期:2018-10-16 浏览次数:72

「永城网站制作」米拓企业建站...

月薪5千到5万 这些项目才是你的未来 软件名称 :米拓企业建站系统(MetInfo) 软件版本 :6.1.2 官方网站 :www.MetInfo.cn 下载地址: https://www.metinfo.cn/download/ 升级须知: https://www.metinfo.cn/...

日期:2018-10-15 浏览次数:78

「江西网络推广」4个关键词,告...

月薪5千到5万 这些项目才是你的未来 在这个互联网时代, 益阳 用户体验充斥着各行各业,不论是产品、服务还是网站,都离不开用户体验。那么怎么样快速提升用户体验?最终实现盈利...

日期:2018-10-12 浏览次数:80

「江西SEO」如何选择一个Web主机...

导文:选择一个好的虚拟主机有哪些注意的事项? 随着互联网的崛起, 丹东 一个企业必不可少的需要依靠网络进行宣传和推广,企业独立网站能让人们快速认识并了解企业的各项业务...

日期:2018-10-11 浏览次数:71

随机推荐

改版工具怎么用 你知道吗?...

老板让模仿竞争对手做网站,看...

建站宝盒,传统企业“互联网...

中小企业建站需求旺盛,微企点...

草根站长们的第一桶金是怎么赚...

适合外贸建站的美国主机推荐...