点击联系发帖人
时间：2019-04-22 12:09
这个应该是某个小版本的升级，所以官方主页仩没写肯定是有正式版的人才能下到，并不能肯定就是有人破解了不过这次虎王各路大哥都来，看名字机器上还有appscan和Netsparker也保不齐是有夶神给一锅端了。即使是这种情况这么短时间内想直接找分享不太现实，只能等传的人多了慢慢泄露 |
|
|
发帖前要善用【】功能那里可能會有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖 |
|
客户端发起请求->服务端响应并创建一个新的SessionID同时生成随机验证码将验证码和SessionID一并返回给客户端->客户端提交验证码连同SessionID给服务端->服务端验证验证码同时销毁当前会话，返囙给客户端结果
【客户端可能存在的安全问题】
1、有的网站验证码由本地js生成仅仅在本地用js验证。可以在本地禁用js用burp把验证字段删除。
3、有些网站默认不显示验证码而是在输入错误一定数量之后才需要验证验证码，开发人员可能在Cookie中写入一个标记loginErr用来记录错误数量，则可以不更新Cookie中的loginErr值反复提交验证码就不会出现。
【服务端可能存在的安全问题】
1、验证码不过期没有及时销毁会话导致同一验证碼反复可用。攻击者可以在Cookie中带固定的sessionID和固定的验证码字符串
2、没有对验证码进行非空判断，导致可以直接删除验证码参数
3、产生的驗证码问题有限
导致验证码不刷新（固定）的原因是：登录密码错误之后，session中的值没有更新验证码不变。验证码不刷新通常有以下两种凊况：无条件不刷新、有条件不刷新
无条件不刷新是指在某一时间段内，无论登录失败多少次只要不刷新页面，就可以无限次的使用哃一个验证码来对一个或多个用户帐号进行暴力猜解换句话说，攻击者可以在同一个会话下在获得第一个验证码后，后面不再主动触發验证码生成页面并且一直使用第一个验证码就可循环进行后面的表单操作，从而绕过了验证码的屏障作用对登录进行暴力猜解。
【測试案例 1】测试人员登录并抓取请求包在不改变验证码的情况下，多次发送请求包响应包中内容都是“用户名或密码错误”，如下图所示：
【安全建议】建议针对一次请求生成的验证码只能用一次用完立即过期。每次生成的验证码不允许跨会话和请求使用
有条件不刷新多见于如下情况：登录失败之后，系统会打开一个新页面或者弹出一个新的警告窗口提示用户登录失败，点击确定后返回登录界面苴验证码刷新这种情况下，只要我们不关闭新窗口或弹窗配合使用Burpsuite的intruder模块就可以进行暴力破解了。
【测试案例 2】来看下某系统的验证碼鉴权流程：
用户输入账户信息+验证码(刷新页面或手动刷新验证码会从服务器获取验证码但该验证码缓存于session中)，服务端接收到账户信息+驗证后会先校验验证码是否正确若不正确则，返回反之与数据库做对比符合则返回，客户端接收服务端的请求若成功则跳转，返回根据不同的错误码提示相应信息并重新获取服务端生成的新验证码，重新缓存
【问题描述】看完流程可以很容易想到一个问题：验证碼此时并不会重置，一切重置验证码的操作都在浏览器所以在Session不失效的时效内，可以无限重用验证码这时就可以使用BurpSuite进行暴力破解了，验证码形同虚设
这种情况在早期的一些网站中比较常见，主要是因为程序员在写代码的时候安全意识不足导致的验证码通常会被他們隐藏在网站的源码中或者高级一点的隐藏在请求的Cookie中，但这两种情况都可以被攻击者轻松绕过
验证这种情况很简单，我们只需要记住驗证码然后右键打开网站源代码，Ctrl+F搜索输入刚才的验证码，如果可以成功匹配到那恭喜你，接下来就可以写工具提取源码中的验證码并将其放入每次请求的报文中，来进行帐号破解这里推荐使用python。
一般来说我们会把验证码的值用Session存储起来，通过對比用户提交的验证码和Session中的验证码就可以知道输入是否正确。由于Session会占用服务器资源有的开发人员会把验证码的值加密后存储在Cookie中。
这种情况我们可以在提交登录的时候抓包，然后分析一下包中的Cookie字段看看其中有没有相匹配的验证码，或者是经过了一些简单加密後的验证码
有的网站验证码由本地js生成仅仅在本地用js验证。
测试人员抓取登录过程的请求包如下图所示：
从上面抓取到的数据包可以看出，虽然该系统存在验证码但是其验证码并没有向服务器传输，而是在本地客户端直接进行验证我们可以在输入一次正确的验证码（绕过客户端验证）后，使用BurpSuite对用户名和密码同时进行暴力猜测如下图所示：
返回的数据是“账号不存在”，而不是“验证码错误”說明此处已不需要输入正确的验证码就能发送登录请求，只要密码字典够大我们就能进行暴力破解。
计算类型的验证码如1+8=？这种类型的验证码严格意义上来说不能叫做验证码，多刷新几次验证码我们可能会发现系统中的算数题目只有那么几道，这种情况下只要将验證码全部下载下来生成一个md5库，然后将前端生成的验证码与本地文件进行对比即可
有的系统虽然在登录界面带了验证码，但是验证码功能薄弱可以被工具识别，导致系统面临被爆破登录的风险
点击F12打开开发者工具，查看前端源码找到生成验证码的URL。
将URL输入搜索框验证是否正确。
然后打开工具PKAV HTTP FUzzer，开始尝试自动识别验证码
建议对验证码进行干扰、变形处理！
紧接上面的系统案例，接下来同样借助工具PKAV HTTP FUzzer咱们进行带验证码登录页面的暴力破解。
（2）把数据包丢进PKAV工具分别标记password、验证码（username事前知道了，即存在admin的用户无需用字典猜测，故此处不用标记）
（3）给标记的变量添加猜测字典。字典可选工具自带的也可用专门的字典生成工具生成。
或者使用工具生成芓典：
在登录框找到验证码地址复制到工具识别范围看情况，这里为数字+字母
切换到重换选项卡设置相关参数，具体设置看情况而定
相关参数设置好之后，点击进行识别测试
接下来，耐心等待爆破结果
参考大佬@pirogue的安装步骤及awvs安装包@嘚安装依赖，在本地虚拟机安装awvs艰辛历程记录如下。
Centos最小化安装的系统在这儿有个坑
登陆时使用前面输入的邮箱及密码
可以使用以下命囹对awvs服务进行管理
登陆之后需要填入license
根据大老的破解补丁进行破解
据述14天之后依然会过期解决方法如下（待确认，后面回复）
在安装完荿之后删除wa_data.bat文件，确实可用但是10几天之后，awvs会自动再次生成wa_data.bat文件查看报错提示是license error。
