安全测试 : 潮点视频（shipin520.com）网站短信接口安全测试，你的网站安全吗？这一漏洞可能让你瞬间损失过万。 | 安全测评 | 文章中心

– “隐患险于明火，防范胜于救灾，责任重于泰山”

安全问题不容忽视，不要亡羊补牢！

前言

本文详细介绍了针对发送短信验证码接口的安全性测试过程，包含思路、部分测试代码已经测试结果。
本次测试网站 —潮点视频（shipin520.com）
潮点视频是视频素材下载网站，是宣传/影视后期/视频剪辑/摄影修图等下载视频素材必备网站。

在这里插入图片描述

一丶找到对外短信接口

从该网站注册入口可以发现，也是通过发送手机短信验证码来完成注册。

在这里插入图片描述

二丶分析外部防御措施

输入手机号并点击获取验证码

在这里插入图片描述

外部防御措施：无

三丶查看请求报文

1. 找到发送短信的请求

按下F12打开浏览器控制台，再次点击发送验证码按钮通过控制台找出发送短信的请求。
在这里插入图片描述

2. 查看请求方式
在这里插入图片描述

3. 查看请求报文头

在这里插入图片描述

4. 查看请求参数
在这里插入图片描述

5. 查看返回值

在这里插入图片描述

四丶分析测试

1. 分析测试要点

无额外参数及额外验证，直接发包即可

2. 编写代码模拟请求进行测试

接着利用Java模拟报文请求，进行测试。部分代码如下：

//配置请求头
	inheads.put("Host", "shipin520.com");
		inheads.put("User-Agent", "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36");
		inheads.put("Accept", "application/json, text/javascript, */*; q=0.01");
		inheads.put("X-Requested-With", "XMLHttpRequest");

//配置请求参数
List<BasicNameValuePair> paramsList = new ArrayList<BasicNameValuePair>();
		paramsList.add(new BasicNameValuePair("mobile", phone));

//配置请求
retEntity = this.userClick(httpclient, cookieStore, "post", smsUrl, inheads, outheads, input, phone);

启动测试：

1次：

在这里插入图片描述

手机号码唯一，IP唯一：

10次 --间隔时间1秒：

在这里插入图片描述

50次 --间隔时间1毫秒：

在这里插入图片描述

五丶结果分析

测试目标：

针对发送短信验证码接口进行安全性测试。

测试思路：

1.找到请求接口
2.分析请求报文
3.模拟请求测试

测试结果：

1.无限制

测试结论：

短信验证码接口未做任何防护。

风险等级：极高

六丶结语

很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。
比如：“ 需求这么赶，当然是先实现功能啊 ”，“ 业务量很小啦，系统就这么点人用，不怕的 ” ， “ 我们怎么会被盯上呢，不可能的 ”等等。

有一些理由虽然有道理，但是该来的总是会来的。前期欠下来的债，总是要还的。越早还，问题就越小，损失就越低。

所以大家在安全方面还是要重视。（血淋淋的栗子！）#安全短信#

戳这里→康康你手机号在过多少网站注册过！！！

谷歌图形验证码在AI 面前已经形同虚设，所以谷歌宣布退出验证码服务，那么当所有的图形验证码都被破解时，大家又该如何做好防御呢？