商丘做网站,商丘网站优化,商丘网络推广,商丘网络公司
当前位置:首页 > 新闻资讯 > 建站经验 >

「宁陵做网站」网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

发表日期:2018-08-26 13:45聚圣源浏览次数: 本文关键词:seo,宁,陵做,网站,优化,漏洞,检测,之,用户,密码,

  我们SINE安全在对网站,以及APP端进行网站安全检测的时候发现很多公司网站以及业务平台,APP存在着一些逻辑上的网站漏洞,有些简简单单的短信验证码可能就会给整个网站带来很大的经济损失,很简单的网站功能,比如用户密码找回上,也会存在绕过安全问题回答,或者绕过手机号码,直接修改用户的账户密码。

  在短信炸弹,以及用户密码找回的网站漏洞上,我们来跟大家分享一下如何利用以及如何防范该漏洞的攻击。

「宁陵做网站」网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

  我们来看下之前对客户网站进行的网站安全检测的时候我们发现到的短信炸弹漏洞,由于客户反映注册网站会员的时候会收到好几条重复的验证码短信,甚至福清多次点击提交也会导致收到好多条验证码信息,随即我们SINE安全对其进行详细的安全检测,果然发现了问题,对注册会员的时候确实存在多次发送短信的情况,我们对提交的数据,GET,POST方式进行多次的安全测试,发现post数据的时候,在smg值后面随意添加任何参数,即可导致网站发送验证码短信到用户手机上,可以发送无数条短信,如果被攻击者利用,那带来的损失无法估量。

「宁陵做网站」网站漏洞检测之用户密码找回网站漏洞的安全分析与利用

  对于这次检测出来的短信炸弹漏洞,首先分析代码,从之前程序员写的代码里看出,在用户登录这个过程代码里没有进行详细的安全过滤,导致输入用户名密码就可以发送验证码,再一个就是程序员设计的过程中将测试的手机号码都存放于数据库里,导致很多正常的用户收到测试时候的短信验证码。再一个漏洞产生的原因,就是程序代码里设计的初始化密码为123456,导致在找回密码重置密码的时候就会进行写入数据库,攻击者利用撞库就可以很容易的猜测到用户的密码。

  那么该如何防范短信炸弹漏洞呢?

  从网站安全的角度来分析,以及网站安全部署层面上看,在短信平台上可以做到防止短信无数发送,现在阿里云的短信平台,可以做到防止多次发送短信到用户手机,一个手机号一天只能接收5次短信的安全限制,再一个就是从程序代码里进行安全加固,对注册的会员,进行判断,如果是一个IP,只能发送一条短信。用户点击获取验证码前输入图文验证码,才能发送,间隔时间60秒才能发送一条短信。在整体的网站安全检测中我们要提前告知客户,我们在进行操作什么,网站漏洞扫描,网站漏洞利用,数据库写入删除等比较重要的操作,都要事先跟客户告知,提前对网站的数据进行整体的安全备份,包括数据库的备份,网站源代码的备份。在渗透测试当中我们要先进行安全评估,整体的安全检测会不会给用户带来影响以及损失,尽可能的不要产生影响客户网站访问,以及业务正常运转。下一篇文章跟大家分享用户密码找回漏洞的利用与分析。

  本文来源:http://www.sinesafe.com/article/20180820

 

如没特殊注明,文章均来自网络! 转载请注明来自:http://www.jushengyuan.com.cn/news/jzjy/10346.html

网站设计案例推荐

热门文章

站长工具综合查询里面SSL证书不...

SSL证书不安全是怎么回事?但是点进去这个提示后,显示的是别人的tdk是不是被劫持或者被黑了?...

日期:2018-03-27 浏览次数:1988

简洁而实用的版权信息可增色网...

打开网站,人们自然会从上往下浏览,首先映入眼帘的一定是BANNER主视觉,然后是网站主体内容部分。相比较而言,注意到网站底部版权信息的浏览者确实不多,但这并说明网站版权信...

日期:2018-09-20 浏览次数:1894

网站设计需要注意的3点问题...

对于网站设计来讲会受到很多因素的影响,而且不同类型的网站,在设计时需要体现的元素也不一样,比如说对于一个企业网站更想体现出品牌以及产品的特点,主要是对产品、企业信...

日期:2018-02-12 浏览次数:1817

企业网站为什么要改版 改版选择...

网站改版,是每个建站企业必须面临的工作。相信也有不少站长问,已经做好的企业网站,为何还要大费周章重新进行改版设计呢?下面小编就来给大家说说,企业究竟为什么要改变,并...

日期:2018-03-26 浏览次数:1352

永城网站制作:模板建站不可不...

随着互联网建站尤其是自助建站热潮不断高涨,建站行业涌现出越来越多的自助建站平台,这些平台普遍都提供网站模板可选。...

日期:2018-04-30 浏览次数:946

相关文章

「伊通满seo」在打算上线网站之...

我们喜好代价低廉的产物,假如是免费赠予,那更是梦寐以求,许多企业大概小我私家在上线网站的时间,90%思量都是代价题目,我计划用几多钱做一个网站,固然,假如能少一些更好...

日期:2019-03-06 浏览次数:62

「万州区seo」开源自助建站 你值...

传统自助建站:不续费就不是本身的、SEO排名上不去、不能二次开辟、拿不走源代码、气势派头简朴、功效简朴,正因云云,许多 津市 必要专业企业官网的用户利用一段时间后就不得...

日期:2019-03-06 浏览次数:62

17800定制网站不如999模板建站?...

17800不要了!心疼么?固然! 那为什么放弃高价定制的网站,而利用999元模板建站? 由于999元的网站可以让企业通过网络接到业务电话!还由于SEO排名、欣赏器兼容、网站治理(可视化编辑)、...

日期:2019-03-02 浏览次数:59

企业官网SEO优化被忽略的问题,...

流量越来越贵,互联网营销推广越来越难做,以是一些企业又想重新把官网做起来,而官网的营销运营离不开SEO优化排名,固然本日我们不谈网站SEO优化本领,简朴聊聊被忽略的题目。...

日期:2019-02-24 浏览次数:78

不懂SEO优化,如何用云指建站把...

项目招商年末回馈 入驻既享多重推广福利 公司没有专业的SEO职员,怎样把网站优化做好呢?这确实是一件很头疼的事变! SEO是一项专业性非常强的事情,不懂SEO原理根本做不来,请个专...

日期:2018-12-26 浏览次数:185

随机推荐

江湖外卖O2O创业新妙招 让“老司...

wordpress网站改版不得不看的六个...

定制VS自助 谁才是企业建站的最...

婚庆O2O门户网站系统 为何首选江...

「宁陵网络推广」网站没收录,...

江湖科技一周细节优化 究竟升华...