发现 V2 一个安全漏洞，登录错误时验证码不更新

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个专门讨论 idea 的地方。

每个人的时间，资源是有限的，有的时候你或许能够想到很多 idea，但是由于现实的限制，却并不是所有的 idea 都能够成为现实。

那这个时候，不妨可以把那些 idea 分享出来，启发别人。

这是一个创建于 2290 天前的主题，其中的信息可能已经有所发展或是发生改变。

登录前的验证码

第一次登录失败后的验证码

第二次登录失败后的验证码

这类问题不大不小，可以导致用户口令被暴力破解。

@Livid

10 条回复 • 2018-09-12 23:31:40 +08:00

noe132

2018-09-11 10:16:53 +08:00 via Android

并不算很严重的问题。

你要能暴力破解，首先要能判断这两个验证码结果一样。

既然都能解析验证码结果了，还有什么网站是不能暴力破解的呢？

noe132

2018-09-11 10:18:55 +08:00 via Android

我记得好像之前只是密码输入正确验证码不对时验证码不变

nazor

2018-09-11 10:19:48 +08:00

@noe132 这个 BUG 会导致容易大量生成神经网络的测试集。

sampeng

2018-09-11 10:30:30 +08:00

@nazor 暴力破解了 V2EX 干嘛呢？刷 php 全世界第一？

adidala

2018-09-11 10:30:57 +08:00

@noe132 既然我已经知道了验证码不变，就可以用程序批量跑口令字典了。你说的那个我不需要解析验证码结果，人眼看了一次后输入到程序里面就行了，反正是不变的

ooooo

2018-09-11 10:34:17 +08:00

最近一段时间,火狐浏览器上面无法登陆,点登录就跳转到主页了,是什么原因

Livid

MOD

2018-09-11 11:32:56 +08:00

@adidala 登录接口上有频次限制。触发之后就会发告警信及封 IP。

casztg

2018-09-11 11:59:10 +08:00

是的。。有 IP 封禁限制。那天不小心按了 F5 好几下········

intmax2147483647

2018-09-12 17:20:45 +08:00

@casztg 你确定是不小心←_←

zenze

2018-09-12 23:31:40 +08:00

@intmax2147483647 我上次不小心按很多次 F5 是为了看进度条变色