Web 攻防之业务安全：验证码绕过测试.（修改数据包中 res_code 的值 实现绕过.）

Web 攻防之业务安全：验证码绕过测试.

业务安全是指保护业务系统免受安全威胁的措施或手段。 广义 的业务安全应包括业务运行的 软硬件平台 （操作系统、数据库，中间件等）、

业务系统自身 （软件或设备）、 业务所提供的服务安全 ； 狭义 的业务安全指 业务系统自有的软件与服务的安全 。

---

目录：

验证码绕过测试：

测试原理和方法：

测试过程：

第一步：首先输入任意手机号码和密码。我们以此 “ 13333333333 ” 为例，点击获取手机验证码，由于我们无法获取到 “ 13333333333 ”
这个验证码的真实验证码，我们随机填写一个验证码“ 33333 ”.

第二步：点击注册并通过 Burp Suite 对数据包进行拦截，右击选择 DOintercept >> Response to this request

第三步：点击 Forword (放包) 后，在 Burp Suite 工具里显示的就是网站返回的数据包，因此我们填写的手机验证码 “33333”
肯定是错的。此时 res_code 的值为1，为了证明认证码错误时 res_code 的值为1，我们将返回的数据包中 res_code
的值改为0，从而实现绕过验证码。

第四步：点击 Forword (放包) 后，就可以成功注册该电话号码“ 13333333333 ” 的账号，并成功登录到用户页面。

修复建议:

---

免责声明：

严禁利用本文章中所提到的技术进行非法攻击，否则后果自负，上传者不承担任何责任。

---

验证码绕过测试：

测试原理和方法：

通过修改前端提交服务器返回的数据，可以实现绕过验证码，执行我们的请求.

---

测试过程：

**攻击者进入注册账户页面，输入任意手机号码获取验证码。在注册账户页面填写任意验证码，提交请求并抓包，使用抓包工具 （Burp

Suite）查看并修改返回报的信息转发，返回数据包查看是否注册成功。**

---

**第一步：首先输入任意手机号码和密码。我们以此 “ 13333333333 ” 为例，点击获取手机验证码，由于我们无法获取到 “

13333333333 ” 这个验证码的真实验证码，我们随机填写一个验证码“ 33333 ”.**

---

第二步：点击注册并通过 **Burp Suite 对数据包进行拦截，右击选择 DOintercept >> Response to

this request**

---

第三步：点击 Forword ( **放包) 后，在 Burp Suite 工具里显示的就是网站返回的数据包，因此我们填写的手机验证码

“33333” 肯定是错的。此时 res_code 的值为1，为了证明认证码错误时 res_code 的值为1，我们将返回的数据包中 res_code
的值改为0，从而实现绕过验证码。**

---

第四步：点击 Forword (放包) 后，就可以成功注册该电话号码“ 13333333333 ” 的账号，并成功登录到用户页面。

---

修复建议:

在服务器端增加验证码的验证机制，对客户端提交的认证码进行二次校验.

---

学习的书籍：Web 攻防之业务安全实战指南.

如何入门网络安全

建议

多看书

阅读永远是最有效的方法，尽管书籍并不一定是最好的入门方式，但书籍的理解需要一定的基础；但是就目前来看，书籍是比较靠谱的入门资料。

现在Web安全书籍比较多，因此大家在学习的过程中可以少走了不少的弯路。如果以上推荐书籍阅读有困难，那就找自己能看得进的 Web 安全的书

当然纸上谈兵终觉浅，最好还是实践一下。

对于那些没有学习方向和资料的同学，可以看下我整理的资源，这份资料经历过社会的实践，可以说是当下全网较全的网络安全知识体系：
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

如果你对网络安全入门感兴趣，那么你点击这里👉优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

如果你对网络安全入门感兴趣，那么你点击这里👉优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享