黑客使用抓包工具分析http請求，在忘記密碼找回時，需要傳送一套簡訊驗證碼，如果驗證碼數字比較短的話，很容易使用暴力破解方式攻擊破。
例如說a**有乙個忘記密碼的功能,此功能支援手機驗證碼修改密碼,一旦我們知道忘記密碼這個介面後,我們就可以使用程式迴圈模擬請求,如果驗證碼是四位數,我們就可以從0000到9999依次迴圈,暴力破解該驗證碼,已達到修改密碼的目的.
防禦手段：
忘記密碼驗證碼最好在6-8位。
一旦頻繁呼叫介面驗證時，應該使用圖形驗證碼攔截，防止機器模擬。
使用黑名單和白名單機制，防禦攻擊。
上傳漏洞這個顧名思義，就是攻擊者通過上傳木馬檔案，直接得到webshell，危害等級超級高，現在的入侵中上傳漏洞也是常見的漏洞。
導致該漏洞的原因在於**作者沒有對訪客提交的資料進行檢驗或者過濾不嚴，可以直接提交修改過的資料繞過副檔名的檢驗。
1）可以得到webshell
2）上傳木馬檔案，可以導致系統癱瘓
1)對檔案格式限制，只允許某些格式上傳
2)對檔案格式進行校驗，前端跟伺服器都要進行校驗（前端校驗副檔名，伺服器校驗副檔名、content_type等）
3)將上傳目錄防止到專案工程目錄之外，當做靜態資源檔案路徑，並且對檔案的許可權進行設定，禁止檔案下的執行許可權。
Web安全之檔案上傳漏洞
系統管理員都有過系統被上傳後門 木馬或者是網頁被人篡改的經歷，這類攻擊大部分是通過檔案上傳來是實現的。檔案上傳漏洞是指網路攻擊者上傳了乙個可執行檔案到伺服器並執行。這裡上傳的檔案可以是木馬 病毒 惡意指令碼或者webshell等。這種攻擊方式是最為直接和有效的，部分檔案上傳漏洞的利用技術門檻非常的低...
web安全學習筆記之 檔案上傳漏洞
檔案上傳在web服務裡非常普遍 上傳檔案漏洞指的是上傳web指令碼且能被web伺服器解析 上傳檔案必須能被解釋執行 且在web容器能執行的路徑裡 伺服器如果僅僅根據檔名來判斷檔案的型別，則很容易利用0截斷功能繞過 例如 php偽造成 php 0.jpg 一般php的檔名處理結果是.jpg 除了看字尾...
web安全 檔案上傳漏洞
檔案上傳漏洞 所謂的檔案上傳漏洞是指使用者上傳了乙個可執行指令碼，並通過指令碼檔案獲得執行伺服器端命令 的能力。檔案上傳本身是沒有問題的，它只是一種正常的業務需求，問題出在檔案上傳後伺服器怎麼處理 解釋檔案。檔案上傳後導致常見的安全問題一般包括 1，上傳檔案是web指令碼語言，伺服器的web容器解釋...