验证码的那些事儿

拖动式滑块

拖动旋转验证码

7FSRC验证码漏洞案例

? ? ? ? 验证码漏洞本身危害程度不是很高，但由于其场景较多，如果用心去研究，还是有很大可能性挖到漏洞。

如果开发图简单，直接将验证码在前端验证/放在返回包中，则简单的查看网页源代码或抓包即可发现。

当然有时候是加过密的，需要解密才能看到

设计时，是判断当ticket存在且错误时，统一返回报错信息

通过置空ticket参数，直接返回对应的报错信息（账号不存在/账号密码错误），被用来爆破用户手机号

清空cookie之后，可以让后端认为是首次访问无需验证码，绕过限制5次/10次等次数才触发的验证码机制

包括两种：

1、修改返回包中提示验证码是否错误的值，进行爆破。

【过于简单? 假装有图】

2、骚姿势，有些前端会把是否需要验证码作为请求发到服务端，这时候将needvalidate参数改为false，即可让系统不弹出验证码。

通过修改验证码的height和width值，导致服务器资源浪费在生成验证码图片上。

如果修改成超大分辨率或多次申请，可导致服务器宕机。

8总结

? ? ? ?各种验证码其实都有一定的优劣处，并不是某一种验证码一定就比其他的验证码更加合适我们的业务。因此，还是需要根据业务的实际情况和使用人数做好均衡评估，在保证服务器性能的情况下选择合适的验证码机制。

? ? ? ??此外，无论使用哪种验证码，只要开发操作不当都可能产生安全漏洞，如果逻辑设计上本就有问题，哪怕最安全的验证机制也是马奇诺防线。