本月帶給大家的是網(wǎng)站繞過(guò)認(rèn)證漏洞。為了更好地確保業(yè)務(wù)管理系統(tǒng)的安全防護(hù)，基本上每一系統(tǒng)軟件都是會(huì)存有各式各樣的認(rèn)證功能。普遍的幾類認(rèn)證功能就包含賬戶密碼認(rèn)證、驗(yàn)證碼短信認(rèn)證、JavaScript數(shù)據(jù)信息內(nèi)容認(rèn)證及服務(wù)器端數(shù)據(jù)信息內(nèi)容認(rèn)證這些，但寫(xiě)代碼的技術(shù)員在涉及到認(rèn)證方法時(shí)很有可能存有缺點(diǎn)造成被繞過(guò)，因此小結(jié)了下列幾類繞過(guò)認(rèn)證的姿態(tài)和大伙兒一塊探討探討。

pc客戶端檢驗(yàn)繞過(guò)

pc客戶端檢驗(yàn)是普遍的一類檢驗(yàn)方法，也就是說(shuō)在pc客戶端檢驗(yàn)客戶的輸入，將檢驗(yàn)效果作為基本參數(shù)發(fā)送至服務(wù)器端，或運(yùn)用web前端語(yǔ)言限定客戶的非法輸入和應(yīng)用。應(yīng)對(duì)該類的檢驗(yàn)方法能夠根據(jù)變更web前端語(yǔ)言或是在傳輸數(shù)據(jù)中對(duì)基本參數(shù)完成篡改來(lái)繞過(guò)認(rèn)證。

舉例說(shuō)明：

a).某系統(tǒng)軟件需要選購(gòu)才可以視頻觀看，不一樣的課程內(nèi)容以id地址去劃分。

b).發(fā)覺(jué)是不是付錢只靠web前端原生js調(diào)節(jié)，變更c(diǎn)ourseID就能夠看見(jiàn)不一樣的課程內(nèi)容，recordURL就是說(shuō)視頻在線觀看的超鏈接，不需要登錄就可以播放。

c).依據(jù)在線電影中的videoCode，可得到視頻在線觀看詳細(xì)地址:

得到url為視頻在線觀看詳細(xì)地址。

d).根據(jù)代碼，可將網(wǎng)站視頻在線觀看下來(lái)。

pc客戶端認(rèn)證個(gè)人信息泄露

程序員在寫(xiě)認(rèn)證程序代碼時(shí)會(huì)很有可能會(huì)將認(rèn)證信息內(nèi)容立即泄漏到pc客戶端，攻擊者就能夠根據(jù)深入分析服務(wù)器端的返回?cái)?shù)據(jù)信息立即得到核心的認(rèn)證信息內(nèi)容進(jìn)而進(jìn)行認(rèn)證。

舉例說(shuō)明：

某完全免費(fèi)wifi接入時(shí)須要應(yīng)用發(fā)送至手機(jī)的密碼完成認(rèn)證，爬取發(fā)送登錄密碼的數(shù)據(jù)文件時(shí)，發(fā)現(xiàn)登錄密碼返回pc客戶端，造成各大網(wǎng)站賬戶能夠登陸連接網(wǎng)絡(luò)。

pc客戶端流程調(diào)節(jié)繞過(guò)

程序員在寫(xiě)認(rèn)證程序代碼時(shí)會(huì)很有可能會(huì)認(rèn)證效果返回到pc客戶端，由pc客戶端依據(jù)服務(wù)器端提供的認(rèn)證效果完成下一階段應(yīng)用，攻擊者能夠根據(jù)篡改認(rèn)證效果或立即實(shí)行下一階段應(yīng)用完成繞過(guò)。

舉例說(shuō)明：

a).某系統(tǒng)軟件密碼重置需要3個(gè)流程，第一步要輸入圖形驗(yàn)證碼。

b).隨后需要根據(jù)驗(yàn)證碼短信認(rèn)證真實(shí)身份。

d).可順利更改密碼登錄密碼。

應(yīng)用目標(biāo)篡改繞過(guò)

假如某應(yīng)用選用了連續(xù)性真實(shí)身份檢驗(yàn)措施或真實(shí)身份檢驗(yàn)流程與操作流程分開(kāi)，能夠嘗試在身份認(rèn)證流程中更換真實(shí)身份檢驗(yàn)?zāi)繕?biāo)或應(yīng)用目標(biāo)完成繞過(guò)認(rèn)證。

舉例說(shuō)明：

a).變更某系統(tǒng)軟件的綁定手機(jī)號(hào)。b).挑選完全免費(fèi)接到電話驗(yàn)證碼變更。c).將變更的手機(jī)號(hào)改成自個(gè)的手機(jī)號(hào)。d).根據(jù)變更的手機(jī)號(hào)接到的檢驗(yàn)碼變更手機(jī)號(hào)。e).發(fā)覺(jué)能夠順利變更成全新的手機(jī)號(hào)。基本參數(shù)篡改,程序員在寫(xiě)認(rèn)證程序代碼時(shí)會(huì)很有可能會(huì)對(duì)驗(yàn)證碼短信字段名完成準(zhǔn)確性檢驗(yàn)，但當(dāng)驗(yàn)證碼短信字段名不會(huì)有或者是為空時(shí)就立即根據(jù)檢驗(yàn)。如果您的網(wǎng)站也存在邏輯漏洞，不知該如何進(jìn)行檢測(cè)以及修復(fù)，可以找專業(yè)的網(wǎng)站安全公司來(lái)進(jìn)行處理，國(guó)內(nèi)SINE安全，綠盟，鷹盾安全，深信服，啟明星辰都是比較不錯(cuò)的。