感谢某电商平台安全工程师feiyu跟我一起讨论这个漏洞的修复。以往在安全测试的过程中后台经常存在验证码不失效果造成的撞库问题，甚至在一些银行或者电商的登录与查存页面同样存在这个问题，一旦造成撞库无论对用户账号的安全性还是网站的负载都是巨大的挑战。其实造成问题的原因并不复杂，主要是研发在开发过程中缺少对安全的认知，造成的疏忽。　

今天心血来潮自己写了个验证码来模拟下出现的问题，首先我们从前端页面开始分析：

<!DOCTYPE html>

<html>

  <head>

   <meta chartset="utf-8">

  </head>

  <body>

     <form method="post"  action="form.php">

       <p>验证码图片：<img border="1" id="capthcha_img" onclick="this.src='captcha.php?r='+Math.random()" src="captcha.php?r="<?php echo rand();?> width="100" height="30"  /> <a href="javascript:void(0)" onclick="document.getElementById('capthcha_img').src='captcha.php?r='+Math.random()">换一个</a></p>

       <p>输入内容：<input type="text" name="autocode" value="" /></p>

    <p><input type="submit"  value="提交" style="padding:6px 20px;"/></p>

     </form>

  </body>

</html>

　　可以看出验证码是通过captacha.php来生成。

　　我们节选captacha.php的关键部分来分析：

$_SESSION['authcode']=$captch_code;

　　我们把生成的captch_code以文字形式存在一个临时的session中。

　　并在前端表单提交后，在form.php中验证POST的验证码是否与Session中的值一致。

<?php

   if(isset($_REQUEST['autocode'])){

      session_start();

      if(strtolower($_POST['autocode']) == $_SESSION['authcode']){

       echo 'right';

      }else{

      echo'wrong';

      }

   exit();

   }

?>

　　万事俱备，似乎一切都很完美，一个验证码（机器自动化识别不在本次讨论范围内，TT）。

　　

　　输入正确返回right：

　　

　　输入错误范围wrong：

　　

　　好了，漏洞来了。我们放到burpsuite中愉快的玩耍一下，在提交验证码的过程中抓包、截断、重放一下数据包：

无限重放验证码它就是不失效。

怎么修，这问题愁死我了，想了好久，终于有了点眉目。

其实很早以前我们写测试报告都说应该让存有验证码Session在合适的时间失效，问题是如何实现。考虑了一下，可以通过以下方法处理：

<?php

   if(isset($_REQUEST['autocode'])){

      session_start();

	  if($_SESSION['authcode'] =='NULL'){

          \\通过验证码是否为空检测验证码是否被提交过

	   echo'Invalid expired';

      }elseif(strtolower($_POST['autocode']) == $_SESSION['authcode']){

       echo 'right';

      }else{

      echo'wrong';

      }

	  $_SESSION['authcode']='NULL';  \\发起一次form提交后把session值置空

   exit();

   }

?>

　　效果如下：

　　

　　如有不正确，欢迎大家指正。谢谢

　　

　　　

Web安全开发之验证码设计不当引发的撞库问题的更多相关文章

  1. 《编写高质量代码－－Web前端开发修炼之道》读书笔记

    前言 这两周参加公司的新项目,采用封闭式开发(项目成员在会议室里开发),晚上加班到很晚,所以没时间和精力写原创博客了,今天就分享下这篇<编写高质量代码--Web前端开发修炼之道>读书笔记吧 ...

  2. 第六模块：WEB框架开发 第1章·Django框架开发1~50

    01-Django基础介绍 02-Web应用程序1 03-Web应用程序2 04-http请求协议1 05-http请求协议2 06-http协议之响应协议 07-wsgire模块1 08-wsgir ...

  3. Web安全开发规范手册V1.0

    一.背景 团队最近频繁遭受网络攻击,引起了部门技术负责人的重视,笔者在团队中相对来说更懂安全,因此花了点时间编辑了一份安全开发自检清单,觉得应该也有不少读者有需要,所以将其分享出来. 二.自检清单 检 ...

  4. Web 前端开发精华文章推荐（jQuery、HTML5、CSS3）【系列十二】

    2012年12月12日,[<Web 前端开发人员和设计师必读文章>系列十二]和大家见面了.梦想天空博客关注 前端开发 技术,分享各种增强网站用户体验的 jQuery 插件,展示前沿的 HT ...

  5. 用grunt搭建web前端开发环境

    1.前言 本文章旨在讲解grunt入门,以及讲解grunt最常用的几个插件的使用. 2.安装node.js Grunt和所有grunt插件都是基于nodejs来运行的,如果你的电脑上没有nodejs, ...

  6. web前端开发学习内容

    应该 具备的 知识技能 :懂web标准,熟练手写 xhtml css3 并符合 符合w3c标准                       代码能 兼容主流浏览器.ie6.7.8.9 ff 等.    ...

  7. Web前端开发工程师养成计划【转载】

    Web前端开发工程师养成计划(入门篇) 最原始的忠告:这个世界上有想法的人很多,但是有想法又能实现它的人太少! 首先要感谢伟大的Web2.0概念.产品概念.用户体验概念.jQuery插件,是它们在中国 ...

  8. Web 前端开发精华文章集锦（jQuery、HTML5、CSS3）【系列十七】

    <Web 前端开发精华文章推荐>2013年第五期(总第十七期)和大家见面了.梦想天空博客关注 前端开发 技术,分享各种增强网站用户体验的 jQuery 插件,展示前沿的 HTML5 和 C ...

  9. 面试web前端开发，被打击了

    今天我去面试web前端开发,被打击了,也跟我也有一定的关系,最基础的东西我都没回答好,哎! 主要是我在等我有意向的公司给我发offer,闲着没事,刚好又有公司叫我去面试,我抱着多面一家也没有啥子坏处就 ...

随机推荐

  1. 页面嵌入dom与被嵌入iframe的攻防

    1.情景一:自己的页面被引入(嵌入)至别人的页面iframe中 if(window.self != window.top){ //url是自己页面的url window.top.location.hr ...

  2. ASP.NET Core 1.1.0 Release Notes

    ASP.NET Core 1.1.0 Release Notes We are pleased to announce the release of ASP.NET Core 1.1.0! Antif ...

  3. setTimeout 的黑魔法

    setTimeout,前端工程师必定会打交道的一个函数.它看上去非常的简单,朴实.有着一个很不平凡的名字--定时器.让年少的我天真的以为自己可以操纵未来.却不知朴实之中隐含着惊天大密.我还记得我第一次 ...

  4. 为你的Web程序加个启动画面

    .Net开发者一定熟悉下面这个画面: 这就是宇宙第一IDE Visual Studio的启动画面,学名叫Splash Screen(或者Splash Window).同样,Javar们一定对Eclip ...

  5. salesforce 零基础学习（六十二）获取sObject中类型为Picklist的field values(含record type)

    本篇引用以下三个链接: http://www.tgerm.com/2012/01/recordtype-specific-picklist-values.html?m=1 https://github ...

  6. 有朋友问了数据库ID不连续，怎么获取上一篇和下一篇的文章？（不是所有情况都适用）

    呃 (⊙o⊙)…,逆天好久没写SQL了,EF用的时间长了,SQL都不怎么熟悉了......[SQL水平比较菜,大牛勿喷] 方法很多种,说个最常见的处理 因为id是自增长的,所以一般情况下下一篇文章的I ...

  7. EntityFramework Core 1.1 Add、Attach、Update、Remove方法如何高效使用详解

    前言 我比较喜欢安静,大概和我喜欢研究和琢磨技术原因相关吧,刚好到了元旦节,这几天可以好好学习下EF Core,同时在项目当中用到EF Core,借此机会给予比较深入的理解,这里我们只讲解和EF 6. ...

  8. 反应器（Reactor）和主动器（Proactor）

    网络方面用的比较多的库是libevent和boost.asio,两者都是跨平台的.其中libevent是基于Reactor实现的,而boost.asio是基于Proactor实现的.Reactor和P ...

  9. App 审核由于 IPv6 网络问题被拒

    昨天 提交App Store 的时候被拒了 We discovered one or more bugs in your app when reviewed on iPhone running iOS ...

  10. XAMARIN ANDROID 二维码扫描示例

    现在二维码的应用越来越普及,二维码扫描也成为手机应用程序的必备功能了.本文将基于 Xamarin.Android 平台使用 ZXing.Net.Mobile  做一个简单的 Android 条码扫描示 ...