漏洞修复与Fiddler抓包工具的使用

漏洞描述

1. 短信轰炸漏洞

Type：存在三个不同的值。Login是登录处，register是注册账号处的短信验证码获取值，还有一个update值。未注册的用户也可以进行发送短信。

2. 手机号绕过，修改密码漏洞（逻辑漏洞）

目前注册使用手机号与忘记密码的手机号验证测试都可以绕过，
开始想测试是否为任意密码修改，发现只要第一个验证方式身份证和姓名作为绑定，后续会根据这两个参数值进行判定，后续的短信验证码可以进行绕过，除非在某个接口中获取到更多的用户信息就可以进行修改其他用户的密码，随后进行登录。

3. 个人信息明文传输漏洞

用户在注册时的所有信息均通过明文传输，存在信息泄露安全。

修复方案

1. 短信轰炸漏洞

**修复建议：**增加图形验证码，对手机号进行限制在有效时间内只能允许发一次短信验证码
**修复方案：**①对手机号最后一次发送验证码时间和类型进行记录，调用验证码接口时，根据手机号、类型和时间差额进行判断。
②需要前端配合，生成图片验证码，记录有效时间（3分钟），时间内有效，前后端进行验证成功后再调用发送短信验证码接口。