商丘做网站,商丘网站优化,商丘网络推广,商丘网络公司
当前位置:首页 > 新闻资讯 > 建站经验 >

【宁陵做网站】网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

发表日期:2018-08-26 13:45聚圣源浏览次数: 本文关键词:seo,宁,陵做,网站,优化,漏洞,检测,之,用户,密码,

  我们SINE安全在对网站,以及APP端进行网站安全检测的时候发现很多公司网站以及业务平台,APP存在着一些逻辑上的网站漏洞,有些简简单单的短信验证码可能就会给整个网站带来很大的经济损失,很简单的网站功能,比如用户密码找回上,也会存在绕过安全问题回答,或者绕过手机号码,直接修改用户的账户密码。

  在短信炸弹,以及用户密码找回的网站漏洞上,我们来跟大家分享一下如何利用以及如何防范该漏洞的攻击。

【宁陵做网站】网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

  我们来看下之前对客户网站进行的网站安全检测的时候我们发现到的短信炸弹漏洞,由于客户反映注册网站会员的时候会收到好几条重复的验证码短信,甚至福清多次点击提交也会导致收到好多条验证码信息,随即我们SINE安全对其进行详细的安全检测,果然发现了问题,对注册会员的时候确实存在多次发送短信的情况,我们对提交的数据,GET,POST方式进行多次的安全测试,发现post数据的时候,在smg值后面随意添加任何参数,即可导致网站发送验证码短信到用户手机上,可以发送无数条短信,如果被攻击者利用,那带来的损失无法估量。

【宁陵做网站】网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

  对于这次检测出来的短信炸弹漏洞,首先分析代码,从之前程序员写的代码里看出,在用户登录这个过程代码里没有进行详细的安全过滤,导致输入用户名密码就可以发送验证码,再一个就是程序员设计的过程中将测试的手机号码都存放于数据库里,导致很多正常的用户收到测试时候的短信验证码。再一个漏洞产生的原因,就是程序代码里设计的初始化密码为123456,导致在找回密码重置密码的时候就会进行写入数据库,攻击者利用撞库就可以很容易的猜测到用户的密码。

  那么该如何防范短信炸弹漏洞呢?

  从网站安全的角度来分析,以及网站安全部署层面上看,在短信平台上可以做到防止短信无数发送,现在阿里云的短信平台,可以做到防止多次发送短信到用户手机,一个手机号一天只能接收5次短信的安全限制,再一个就是从程序代码里进行安全加固,对注册的会员,进行判断,如果是一个IP,只能发送一条短信。用户点击获取验证码前输入图文验证码,才能发送,间隔时间60秒才能发送一条短信。在整体的网站安全检测中我们要提前告知客户,我们在进行操作什么,网站漏洞扫描,网站漏洞利用,数据库写入删除等比较重要的操作,都要事先跟客户告知,提前对网站的数据进行整体的安全备份,包括数据库的备份,网站源代码的备份。在渗透测试当中我们要先进行安全评估,整体的安全检测会不会给用户带来影响以及损失,尽可能的不要产生影响客户网站访问,以及业务正常运转。下一篇文章跟大家分享用户密码找回漏洞的利用与分析。

  本文来源:http://www.sinesafe.com/article/20180820

 

如没特殊注明,文章均来自网络! 转载请注明来自:http://www.jushengyuan.com.cn/news/jzjy/10346.html

网站设计案例推荐

热门文章

站长工具综合查询里面SSL证书不...

SSL证书不安全是怎么回事?但是点进去这个提示后,显示的是别人的tdk是不是被劫持或者被黑了?...

日期:2018-03-27 浏览次数:1895

简洁而实用的版权信息可增色网...

打开网站,人们自然会从上往下浏览,首先映入眼帘的一定是BANNER主视觉,然后是网站主体内容部分。相比较而言,注意到网站底部版权信息的浏览者确实不多,但这并说明网站版权信...

日期:2018-09-20 浏览次数:1883

网站设计需要注意的3点问题...

对于网站设计来讲会受到很多因素的影响,而且不同类型的网站,在设计时需要体现的元素也不一样,比如说对于一个企业网站更想体现出品牌以及产品的特点,主要是对产品、企业信...

日期:2018-02-12 浏览次数:1808

企业网站为什么要改版 改版选择...

网站改版,是每个建站企业必须面临的工作。相信也有不少站长问,已经做好的企业网站,为何还要大费周章重新进行改版设计呢?下面小编就来给大家说说,企业究竟为什么要改变,并...

日期:2018-03-26 浏览次数:1338

永城网站制作:模板建站不可不...

随着互联网建站尤其是自助建站热潮不断高涨,建站行业涌现出越来越多的自助建站平台,这些平台普遍都提供网站模板可选。...

日期:2018-04-30 浏览次数:940

相关文章

【辽宁网站建设】常用网站建设...

大众创业,万众创新,早已成为当下热门词,无数的青年才俊,投入到创业浪潮中去。创业的第一步,大家都知道是进行工商注册,那第二步是什么呢? 创业的第二步,其实应该是搭建...

日期:2018-09-15 浏览次数:72

【睢县网站制作】模板建站真比...

小程序创业扶 汕尾 持计划 实现月入10万创业梦 经常看到有人在说,模板建站和定制建站相比,最好选定制建站,觉得模板建站没有特色,千篇一律,定制建站能根据自己的需求定做网...

日期:2018-09-15 浏览次数:70

【虞城网站制作】模板建站比定...

很多网络公司销售在向客户推销时会说,模板建站和定制建站相比,最好选定制建站,因为定制网站是纯手工制作,模板建站是套用框架。但是模板建站,真的比定制建站差吗?网站模板...

日期:2018-09-13 浏览次数:71

【吉林做网站】构筑企业微中心...

互联网时代,企业通过官网链接更多客户,可以说,官网则就是企业的门面,是品牌企业的标志,所以权威度是和企业一致的。 对于企业而言,官网究竟有多重要? 1.提高可信度 品牌官网能够...

日期:2018-09-12 浏览次数:60

【夏邑做网站】如何安装米拓建...

米拓建站系统是一款 高端、快速、开源 的建站系统,模板风格仅仅是网站的外表,模板背后所使用的系统后台才是网站真正的核心,了解米拓系统的功能。 一、获取米拓建站系统安装包 米拓...

日期:2018-09-12 浏览次数:70

随机推荐

企业建站:打造炫酷官网的几个...

初期草根站长适合做什么样的网...

网站建设搜索框设计技巧和功能...

利用robots文件做seo优化,让蜘蛛...

对于企业网站建设来说 哪些内容...

网站建设如何突破同质化竞争的...