漏洞修复与Fiddler抓包工具的使用

漏洞描述

1. 短信轰炸漏洞

Type：存在三个不同的值。Login是登录处，register是注册账号处的短信验证码获取值，还有一个update值。未注册的用户也可以进行发送短信。

2. 手机号绕过，修改密码漏洞（逻辑漏洞）

目前注册使用手机号与忘记密码的手机号验证测试都可以绕过，
开始想测试是否为任意密码修改，发现只要第一个验证方式身份证和姓名作为绑定，后续会根据这两个参数值进行判定，后续的短信验证码可以进行绕过，除非在某个接口中获取到更多的用户信息就可以进行修改其他用户的密码，随后进行登录。

3. 个人信息明文传输漏洞

用户在注册时的所有信息均通过明文传输，存在信息泄露安全。

修复方案

1. 短信轰炸漏洞

**修复建议：**增加图形验证码，对手机号进行限制在有效时间内只能允许发一次短信验证码
**修复方案：**①对手机号最后一次发送验证码时间和类型进行记录，调用验证码接口时，根据手机号、类型和时间差额进行判断。
②需要前端配合，生成图片验证码，记录有效时间（3分钟），时间内有效，前后端进行验证成功后再调用发送短信验证码接口。

2. 手机号绕过，修改密码漏洞

修复建议：前后端双向验证
前端：使用JavaScript或框架（如 Vue 的vee-validate）验证响应参数格式
后端：在接口输出前通过模型验证（如 Spring Validation）确保参数合规
异常处理：参数不合法时返回明确错误码（如400 Bad Request）及错误信息
修复方案：
①在进行密码时再次验证验证码信息（二次验证）
使用抓包工具跳过第二步的身份验证后，会在第三步中进行验证码二次校验

逻辑漏洞：https://zhuanlan.zhihu.com/p/572373589

3. 个人信息明文传输漏洞

修复建议：对请求包的内容进行加密传输

修复方案：
①前端对敏感信息字段（密码 手机号 身份证号 ）进行加密传输，后端进行解密

Fiddler抓包工具的使用

下载：https://www.telerik.com/download/fiddler
使用：https://blog.youkuaiyun.com/okcross0/article/details/145454361

抓包前的准备

1. 下载安装完成后 打开Fiddler，点击工具栏中的Tools—>Options
   
2. 点击https设置选项，勾选选择项
   
3. 点击Actions,点击第二项：Export Root Certificate to Desktop。桌面上会出现证书FiddlerRoot.cer文件，点击OK设置成功。
   
4. 在浏览器中导入证书FiddlerRoot.cer。例如: 谷歌，在浏览器上输入: chrome://settings/ 然后进入高级设置，点击管理证书.
5. 在受信任的根证书颁发机构，对证书进行导入
6. 重新打开fiddler，就可以在电脑上进行https抓包了

抓包工具的使用

https://blog.youkuaiyun.com/qwer9478/article/details/100164634

1. 抓包，找到要拦截的请求，然后在AutoResponder中Add Rule：

2. 在Rule Editor中的第二栏选择“Create New Response…”：
   

3. 点击Save，会弹出一个窗口，在弹窗中选择Raw栏，将抓包抓到的请求对应的Raw栏内容复制粘贴进去，然后将其中想要修改的部分进行修改，然后点击“Save”进行保存：
   

4. 如果想要频繁修改替换返回体中某些内容，可以在AutoResponder里相应待拦截请求上点击右键，“Edit Response”编辑返回体：
   

5. 注意：可以通过框住的内容来实现是否使用工具修改包内容

声明：本文在撰写过程中，所遇问题参考博文在文已添加链接，特此声明，以示感谢。