原文链接: https://mp.weixin.qq.com/s?__biz=Mzg5NDg4MzYzNQ==&mid=2247486580&idx=1&sn=4a46124374634e6079ca78838944ca0f

记一次项目中把验证码漏洞从低危变成严重漏洞的方式

小黑子安全666 小黑子安全 2025-07-19 23:30

声明
– 本文章所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法
.
分享一下前段时间对一个项目做渗透测试的一个小思路，希望可以对各位产生一些帮助

首先入眼就是一个登录点

相信各位也有思路了，无非是：短信轰炸、任意用户登录、万能密码、弱口令、sql注入等

作者也是第一步就测试短信轰炸

这里直接输入我自己的手机号，然后使用yakit抓包，拦截短信验证码发送的数据包

直接把数据包放到重放模块，进行了一次发包

可以看到数据包回显是正常的，且手机也是正常的接受到了短信验证码了

在连续发送了三次数据包后提示

在测试短信轰炸的时候，大部分都是并发一下发现有次数限制就直接跳过了

接下来就讲讲遇到验证码发送次数限制的时候怎么绕过

可以通过

+86
、
@
、空格、
+
、逗号

等方式进行绕过，从而达到短信轰炸的效果：

这里通过字典在手机号全面遍历

+86
、
@
、
@@
、
@@@
、空格、
+
、逗号

成功绕过限制实现了短信轰炸

短信成功发送到手机：

对于验证码功能大部分师傅测试到这里可能就结束了

其实验证码还存在比短信轰炸更大的危害

双验证码漏洞，可导致获取任意用户的验证码进行登录

双验证码的测试方法有一下几种
：

mobile
=1
8
888888888

,

mobile
=1
9
999999999

mobile
=1
8
888888888

&

mobile
=1
9
999999999

mobile
=1
8
888888888

,

1
9
999999999

mobile
=1
8
888888888

&

1
9
999999999

测试中也是成功通过，号实现了双验证码漏洞的挖掘

下面使用了我的主号和副号进行测试

最后两个手机号成功接收到了相同的验证码

这意味着我们只需要把

逗号

后面的手机号替换为其他用户的手机号即可获取验证码进行登录

那么这个时候重点来了，我们思维发散一下

来个宇宙大爆炸！

想想我们是否可以继续在主号和副号后面添加更多的手机号：手机号，手机号，手机号，手机号，手机号
………….

是不是就可以获取整个网站所有用户的验证码，可以一次性拿下整个站点的所有账号权限，在配合后台的密码修改功能修改所有用户的密码造成全站用户账号被盗。

实现低危到严重的越变

推荐一下作者最新研发的yakit被动漏洞检测插件，可挖掘企业src漏洞。

以上漏洞都是不需要任何技巧的，作者只是开启插件在目标网站用鼠标“点点点点”就挖掘出这么多漏洞，完全

“零基础”“

零成本”挖洞

目前一共开发了四个插件：

被动
sql
注入检测

被动
xss
扫描优化版

被动目录扫描好人版

被动
ssrf
及
log4j
检测

插件使用效果：记一次企业src漏洞挖掘连爆七个漏洞！

插件使用教程：
新一代SQL注入检测技术，小白也能轻松挖到漏洞！

知识星球——小黑子安全圈
[
精华版
]

开业大吉！

每一个插件都是非常实用的，有没有用作者也已经通过

企业
src 
漏洞的挖掘来证明了，并且只需要开启插件

点击鼠标就可以全自动挖掘漏洞。

需要获取插件的小伙伴可以扫描下方二维码加入我的知识星球，星球
 99
元
/
年

，前
50
个加入的
 77
元
/
年。

加入知识星球的同学会提供

yakit

安装

和

插件

使用教程。

本星球只提供精华内容，没有烂大街的东西。会持续更新
yakit
插件和各种漏洞漏洞探针和利用工具，哪怕你是什么都不懂的小白用了插件点点鼠标就能挖到漏洞。

注！！！红包返现！！！拉新活动！！！

星球接受使用插件挖到漏洞的投稿，我审核通过会返
30
红包，直接微信转，文章我会发公众号
(
每人仅限一次
)
。

拉新人加入星球待满三天也会返
20
红包
(
微信直接转
)
。插件会一直优化和上新，欢迎大家加入星球。