发现 V2 一个安全漏洞，登录错误时验证码不更新

[adidala]

登录前的验证码

第一次登录失败后的验证码

第二次登录失败后的验证码


这类问题不大不小，可以导致用户口令被暴力破解。

@Livid

[noe132]

并不算很严重的问题。

你要能暴力破解，首先要能判断这两个验证码结果一样。

既然都能解析验证码结果了，还有什么网站是不能暴力破解的呢？

[noe132]

我记得好像之前只是密码输入正确验证码不对时验证码不变

[nazor]

@noe132 这个 BUG 会导致容易大量生成神经网络的测试集。

[sampeng]

@nazor 暴力破解了 V2EX 干嘛呢？刷 php 全世界第一？

[adidala]

@noe132 既然我已经知道了验证码不变，就可以用程序批量跑口令字典了。你说的那个我不需要解析验证码结果，人眼看了一次后输入到程序里面就行了，反正是不变的

[ooooo]

最近一段时间,火狐浏览器上面无法登陆,点登录就跳转到主页了,是什么原因

[Livid]

@adidala 登录接口上有频次限制。触发之后就会发告警信及封 IP。

[casztg]

是的。。有 IP 封禁限制。那天不小心按了 F5 好几下········

[intmax2147483647]

@casztg 你确定是不小心←_←

[zenze]

@intmax2147483647 我上次不小心按很多次 F5 是为了看进度条变色