您的举报已经提交成功，我们将尽快处理，谢谢！
你这个是注册某论坛性网站出现的情况吧？
请你仔细观察一下，在“关联手机号”后面有输入你手机号码的空位，后面还有一个 叫做“获取验证码”，点击以后，你的手机会收...
验证码有什么作用
有了验证码,你就必须输入,而且每次的验证码都不同,这就可以排除,用其他病毒或者软件自动申请用户及自动登陆.有效防止这种问...
为了防止泄密保护客户隐私啊
楼主是想激活哪个游戏吗？
如果是这样的话，建议让国内的朋友或是家人用他们的手机帮你激活
大家还关注js最新手机号码、电话号码正则表达式-前端开发博客推荐文章 12-23 03-26 12-10 03-14 01-21 03-06热门文章
61,647Views
37,253Views
25,232Views
12,770Views
9,645Views
7,970Views
2元 5元 10元 50元 100元 任意金额 2元使用支付宝扫描二维码完成支付你知道为什么手机短信验证码需要限定时间么？ - 推酷
你知道为什么手机短信验证码需要限定时间么？
【原创稿件】随着移动互联网和智能手机的快速发展，原本功能单一的手机号发生了很大改变。如今，似乎每个人的手机号都绑定了各种账号，例如支付宝、银行卡等重要的账号。手机绑定最主要的表现就是短信验证，目前因其便捷的验证方式被广泛使用。但与此同时，人们也为其安全性而担忧。
因此，企业通过限定手机短信验证时间和加长验证字段的方式来提升短信验证安全性。加长的短信验证码增加了被暴力破解的难度，而且想要破解必须在短信验证码的有效时间内去做，所以限定短信验证码的有效时间也是提升安全性的手段。
在手机短信验证码中，4位验证码尤其不安全。为什么这么说呢?攻击者可以通过输入掌握的手机号码，在未获取验证码的情况下，直接获得短信验证码，从而绕过手机短信验证的安全环节。一般手机验证短信是4位，也就是说为，长度为10000，通过近10000次第穷举实现对密码的验证。具体我们一起看看下面这个验证过程就懂了。
1.使用密码找回
打开某企业信息机，如图1所示，在页面中有“密码找回”功能，本次要破解的密码用户为管理员admin账号，系统设计的目的是根据用户名和手机号码短信验证来确定是用户本人，但其设计和验证过程存在缺陷，使得攻击者可以暴力破解验证码，重新设置或者获取指定用户的密码。如图2说是，在找回密码用户中输入“admin”。
图1密码找回
图2设置密码找回的用户
2.设置密码找回的手机号码
在密码找回中设置密码找回的手机号码，如图3所示，设置完毕后，需要用户输入一个验证码来验证。
图3输入验证码进行验证
3.设置BurpSuite密码变量
(1)设置代理并实施拦截
使用BurpSuiteProxy(代理)—拦截HTTP/S的代理服务器，也即显示为“Intercept is on”，它可以作为一个在浏览器和目标应用程序之间的中间人，允许进行拦截、查看以及修改在两个方向上的原始数据流。在找回密码页面输入验证码“1234”并使用本地代理抓取post包，如图4所示，可以看到txtPassWord=1234
图4设置代理并实施拦截
(2)设置破解变量
发送到Intruder(入侵)一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。将该数据包发送到Intruder，如图5说是，在验证码增加一个变量$1234$。
图5设置一个入侵(破解密码)变量
(3)设置Playloads
在入侵页面上单击“Payloads”，如图6说是，其缺省初始参数为字母和数字，实际情况要根据当前渗透测试环境自行判断和设定。在本例中由于验证码是长度为4位的数字，因此Min Length(最小长度)和Max Length(最大长度)均设置为4.
图6设置PayLoads
当前网站验证码经测试为数字，因此将Character set设为：0，1，2，3，4，5，6，7，8，9。Payload count：有效的验证码总数量为10000，设置完毕后如图7所示。
图7设置有效载荷、字符串和长度
(4)设置线程数
单击“Options”，在“Number of threads”中设置线程数为100，这里可以根据情况，可以是1-10000，但一般不会设置太多，50-100为比较适宜的数字。
图8设置破解线程数
4.执行暴力破解
单击菜单中的“Intruder”上的“Start attack”进行暴力破解尝试，如图9所示，其破解结果显示如下，破解成功的值，其Status会不一样，错误的值是200，正确的值为302。
图9查看破解进展
5.破解成功
通过查看破解反馈回来的状态值，知道本次破解的Payload：1245，HTTP状态码Status为302，明显是一个跳转。返回的Length长度为451 。正确的验证码为1245，我们尝试输入，发现验证码正确，如图10所示，成功破解用户密码找回的手机密码验证短信码，从而获取管理员的密码。
图10成功获取密码
综上所述，我们可以看到，通过burpsite可以方便的获取指定账号的密码，现在很多涉及登录用户入口的地方都涉及了多种找回方式，一旦处理不当即有可能造成巨大的安全隐患。因此，笔者建议可以从以下一些方面进行安全防范：
(1)短信验证码验证时间需要设置得更短，应该在30秒以内。由于需要穷举10000次，网络发包时间较短，尽量避免包从同一个地址的多次提交。
(2)将短信验证码由4位增加到6位，且使用数字+字母的方式，增加了破解的难度。
【51CTO原创稿件，合作站点转载请注明原文作者和出处为】
已发表评论数()
请填写推刊名
描述不能大于100个字符!
权限设置： 公开
仅自己可见
正文不准确
标题不准确
排版有问题
主题不准确
没有分页内容
图片无法显示
视频无法显示
与原文不一致114网址导航关注四娘了解本地新鲜事儿
关注四娘赢取福利
恭喜本帖荣登首页头版，作者&zyacf&获得第四城送出的3朵和20粒
回复【114】浏览【35430】
TA的其他好贴
10月13日：我老婆在支付宝中发现一笔莫名其妙的240元的未成功交易
11月05日-周四
20点28：我老婆收到10001短信，内容为我们电信套餐的费用信息
& & 这条短信，拉开了整个事件的序幕……
20点34：我老婆收到10000号来电，说她致电10000号开通超级信使业务中断，询问是否需要继续开通
& & 我们查了下超级信使的功能，发现开通这个业务后可以设置将本机短信另存一份在服务器上。我老婆说她之前正好看到过案例，就是有人通过类似业务盗取他人钱财。于是我们要求10000号关闭该业务，并且禁止再开通，而10000号回复说“因为我们欠费，所以刚才无法办理，而且这个业务无法禁止开通”。我们又问10000号刚才对方是如何要求开通该业务的，10000号回复说“是通过本机拨打10000号，并且核实机主身份证号码后办理的”。我们跟10000号强调，我们本机并没有拨打过10000号，但10000号坚持说“在后台的接待记录中，之前的来电号码确实显示为我老婆的电话号码”。至此，我们判断有人伪造了我老婆号码，并且盗取知晓了我老婆身份证号码。我们将推论告知10000号，想请10000号帮助保护我们账号，但10000号回复说“无能为力，只要符合流程，她们就会正常办理”。
20点38：我老婆收到264681短信，内容为即将定制超级信使商务版，回复任意内容确认定制，无回复则不定制
20点41：我老婆收到918711短信，内容为即将定制超级信使商务版，回复任意内容确认定制，无回复则不定制
20点41：我老婆收到10-6281109短信，内容为你的超级信使密码是xxxxxx
& & 看到对方在不断尝试，我们又拨打了10000号，这次走的投诉通道，投诉有人盗取并伪造我们信息，试图截获我们短信，盗取我们钱财，希望电信能帮助我们处理，10000号表示“从来没遇到过这样的事情，也无法帮助我们，只能先记录，48小时内给反馈”
20点57：我老婆收到10001短信，内容为充值200元
20点57：我老婆收到10001短信，内容为充值10元
21点00：我老婆收到812007短信，内容为即将定制超级信使商务版，回复任意内容确认定制，无回复则不定制
& & 看到对方居然帮我们充值，我们觉得事情没那么简单。我老婆更是非常紧张，于是将最重要的一张银行卡进行了挂失，我当时还觉得她有点小题大作，但后来事实证明了这是个无比正确的决定。
& & 由于电信无法及时处理，而我老婆又很怕对方这种舍不得孩子套不着狼的心态，于是想到报警。她首先拨打110，电话值班警员在听取大概情况后，说事情感觉比较复杂，建议我们到辖区所在派出所报案，于是我们出门前往派出所。
& & 派出所值班民警在听了我们描述后，同样表示“从来没遇到过这样的事情，听起来有点玄”，并且告知我们“由于并没有造成实际损失，所以无法立案，他们无能为力，这种只能去找电信”，甚至连笔录都不愿意做。但好在最终在我们的一再坚持下，民警同意了在我们去找电信的时候，如果需要，可以陪同帮助我们。说到这种地步，再留在派出所也没有什么意义，况且时间也都快12点，于是我们回家。
& & 回家路上，我老婆致电支付宝，与客服人员约定，如果有人通过人工修改密码，必须验证本人手持身份证的照片才行。
& & 回家后，我们等到凌晨1点过，没有什么动静，于是睡去。
11月06日-周五
10点31：我老婆收到10001短信，内容为我们的电信套餐的费用信息
& & 我老婆致电10000号，发现昨晚的投诉被取消，于是再次进行投诉，并要求有人跟进处理。
12点56：我老婆收到10001短信，内容为密码重置成功
13点02：我老婆收到10001短信，内容为办理CDMA无条件呼转业务已成功
13点03：我老婆收到10-6281109短信，内容为您已开通超级信使业务，登陆密码为xxxxxx
& & 我老婆致电10000号，取消超级信使服务和CDMA无条件互呼转业务。
& & 我老婆修改了她淘宝和支付宝的绑定手机，以防万一。同时每隔一会儿我就给她打电话，她自己给自己发短信，看电话是否正常可用。
13点08：我老婆收到10-6281109短信，内容为您已开通超级信使业务，登陆密码为xxxxxx
& & 我老婆致电10000号，取消超级信使业务。
15点03：我老婆收到短信，内容为你已成功定制超级信使
15点04：我老婆收到短信，内容为你已成功定制189邮箱提供的5元189邮箱
& & 我老婆致电10000号，取消超级信使业务。
& & 终于有自称为电信高级投诉经理的人员联系了我老婆，并且她在听取所有标记为我老婆号码拨打10000号的人工服务录音后，承认确实是有一男一女两个人的通话记录，并且男方要求开通超级信使业务的，女方要求取消超级信使业务。我老婆询问她是否有何应对方法时，她回答”她也没有办法“。
& & 我们联系了一个平时负责办理我们小区电信业务的工作人员，他在与同事交流后，告诉我们，对方之所以能办理业务，无非是既伪造了本机号码，又知道了机主身份证，他建议我们过户到其他人名下，让本机号码和机主身份证对应不上，即可解决问题。于是我们前往营业厅进行过户。
& & 在去营业厅的路上，之前那位高级投诉经理再次联系了我们，告诉我们可以通过过户来应对。
& & 到了营业厅，我们说明情况后，应该也是经理级的工作人员，直接将我们带到后台，优先帮助我们办理过户。这次是从我老婆过户到我，并且密码使用的是我的常用密码。
& & 此后没有什么动静。
11月07日-周六
3点05：我老婆收到10001短信，内容为密码重置成功
3点09：我老婆收到10001短信，内容为密码重置成功
3点09：我老婆收到10-6281109短信，内容为您已开通超级信使业务，登陆密码为xxxxxx
& & 因为我们睡着了，且因为有宝宝，手机开启了夜间模式，所以直到7点29分，我们才致电10000号，取消超级信使业务。
& & 我们致电10000号，多次重申事情的重要性，要求专人跟进处理，但对方都只是说“已记录，会提交，请等待”。
& & 有个奇怪的事情是，密码被重置了两次，我用昨天下午办理过户时设定的密码进行登录，居然登录成功。也就是说，对方在第二次将密码还原了！如果能还原，那对方就应该知道密码，那又何必重置？
& & 我又试了试拨打10000号语音自助服务，选择忘记密码，只需要输入身份证号，即可重置为新密码，且收到的短信提示和半夜收到的一致。
& & 9点过，电信终于有个座机回复过来，经过沟通，对方完全不相信有人伪造了我老婆号码，并建议我老婆将sim卡带到营业厅做封存测试，时间3-5天，以确认号码是否异常。我老婆告诉她，一可以听录音，即可明确分辨出有两个完全不同的人在做完全不同的事，二我老婆的通话详单中与10000号的通话记录，与10000号记录的与我老婆号码的通话记录不匹配，三现在对方不停针对这个号码修改密码办理业务，你让我们把号码封存起来无法使用，等到3-5天结束，钱早就被盗完了！我们很不满意这个处理方法，与对方争吵了起来，我们表示需要联系昨天那位高级投诉经理跟进此事，并要求记录对方工号进行投诉，最终对方挂断了电话，并且我们回拨该座机无人接听。
& & 由于密码被改回这个事情，我们猜测可能是电信内部人员所为，于是打算前往电信后台部门所在的地方进行投诉。
& & 首先我们去了昨天的营业厅，咨询了那位经理级的工作人员，她告诉我们，在营业厅的前台业务系统中，是无法查看到密码明文的。
& & 接着我们又联系了平时负责办理我们小区电信业务的工作人员，他也表示爱莫能助。
& & 然后我们又咨询了网警报案电话，几经转折，终于联系上了网警处的值班警员，并前往报案。经过沟通，对方告诉我们，网警对这种事情没有管辖权，他建议我们找电信要说法。
& & 最后我们又到了四川电信总公司，办公园区门卫不准进入。找了旁边营业厅的值班经理反映了该情况，对方表示无能为力，同时无法提供后台部门的联系方式。
14点53：我老婆收到10-6281109短信，内容为你的超级信使密码是xxxxxx
& & 我们致电10000号，取消超级信使业务。
& & 下午，我们再次接到电信座机的回复，上午那位工作人员说经过汇报讨论，说可以帮助我们在10000号人工服务台打上标记“严禁办理任何业务”，这样10000号工作人员将不会人工为我们办理任何业务。不过细问之下，才知道，这个标记只能阻止10000号人工办理，而对10000号语音自助，短信自助，网上营业厅这些途径全部无能为力。我们打上了这个标记，但依然觉得无济于事。然后，对方还提供了另一个方案，禁止我老婆手机号接收任何增值业务的短信。但我们考虑到这个业务将完全影响我们的日常生活，所以拒绝了。
& & 后来，我们想着或许对方准备周全，同时把我老婆和我的信息都收集到了，而家里老人基本和网络隔绝，也没有在外面留过资料，于是我们又将机主从我过户到家里老人。
& & 此后平静无事。
11月08日-周日
0点28：我老婆收到10001短信，内容为密码重置成功
0点34：我老婆收到10-6281109短信，内容为你已开通超级信使业务，登陆密码为xxxxxx
4点33：我老婆收到10-6281109短信，内容为超级信使欢迎你回来，你的C网手机于11月8日04:33登陆成功
5点19：我老婆收到10-6281109短信，内容为超级信使欢迎你回来，你的C网手机于11月8日05:19登陆成功
5点30：我老婆收到短信，内容为是
5点34：我老婆收到招行95555短信，内容为重置一网通登陆密码的验证码xxxxxx
5点38：我老婆收到招行95555短信，内容为重置一卡通查询密码的验证码xxxxxx
5点56：我老婆收到招行95555短信，内容为一网通用户忘记登录名或密码操作的验证码xxxxxx
& & 因为我老婆粗心大意，忘记取消夜间自动飞行模式的设定，而且昨天在外跑了一天，所以睡得比较早，直到6点左右，我无意醒来，查看手机，才发现状况。
& & 我们赶紧起床，致电10000号注销超级信使业务，然后致电各银行挂失银行卡。
& & 有个奇怪的事情是，对方如何知道家里老人的身份信息的？
& & 还有个奇怪的事情是，对方即使开通了超级信使，初始密码是发到我这里的，他最终又是如何成功登陆的？
6点12：我老婆收到京东0短信，内容为验证码xxxxxx
6点12：我老婆收到京东短信，内容为登陆密码重置成功
6点28：我老婆收到中国银联95516短信，内容为xxxx的招行卡向国美在线电子商务付款4988.00元的付款验证码xxxxxx
6点31：我老婆收到腾讯3600009短信，内容为用于登陆微信或更换绑定的验证码xxxxxx
6点33：我老婆收到建行95533短信，内容为末位xxxx的订单，支付金额500元，验证码xxxxxx
6点35：我老婆收到建行95533短信，内容为末位xxxx的订单，支付金额500元，验证码xxxxxx，与上一条前面内容一模一样，只是最后多了个广告...
& & 奇怪的是，建行卡，我老婆几乎完全没用过，对方是如何知道这张卡号的？反而其它使用频率更高的卡没有被盗刷。
& & 把所有银行卡挂失完成后，我们立马出门报警。
& & 由于整个事情比较长，我们叙述地比较久，派出所值班警员很不耐烦地听完后，说因为对方没有给我们造成损失，所以无法立案，甚至也连笔录都不想做。我们多次强烈要求警方跟进处理这个事情，终于，他联系了另一位警官，请他下来处理。但那位警官接通电话询问情况后并没有下来，值班警员则完全一副觉得我们没事找事爱理不理的样子。此时，我只有一种感觉，就是走投无路。电信，电信说我的业务流程就是这个样子，JCSS，JCSS说你又没遭，来找我干嘛。那我们现在还能做什么？难道就只能被动防御，等着被对方找到突破口？我们开始录音，并质问值班警员，说我们这情况在现实中相当于已经有人正在对我们实施犯罪了，只是未遂，那为何放到网络上你们就如此不管不问？如果必须要有经济损失警方才会跟进处理，那请给个立案金额，我们去取消挂失，等对方盗取钱财成功，再来找你。当然这个事情我们也会联系媒体，让大家看看JCSS是如果保护人民的。值班民警再次联系了那一位警官，这次警官很快下来了，把我们带进了办公室，详细询问了情况并仔细做了笔录。他告诉我们，此事确实无法以盗窃罪立案，只能尝试用伪造他人身份证明的方式立案。听到这种说法，我们也知道此事大概就到此为止了，但这位警官认真的态度，多少让我们感受到一丝安慰。
& & 从派出所出来，已经9点过了，看来最终还是只能自救。
& & 鉴于对方一直是从手机短信着手，那我们首先新办了张手机卡，专门用于钱财相关，然后由于家里老人的信息都被知晓，干脆就把原手机号过户到了他人名下，接下来再把邮箱，qq，微信，淘宝，支付宝，appid等密码全部重设为不一样的，这样对方原手机无法知道机主身份，新手机又无法知道号码，密码也都变了，应该就无计可施了。但谁又说得准呢？我们只是针对现状进行预防，谁知道对方还有没有其它王牌呢？
& & 至此，事情勉强告一段落……
11月09日：对方还在不死心的拨打10000号，我联系了超级信使客服，并拿到了对方的登陆IP，与11月08日那个177的陌生号码同地址。
11月10日：我将电话和IP的信息反馈给那位警官，警官也让我联系10000号准备好对方伪造我老婆号码的证据，然后就继续等批复。
11月12日：早上我老婆收到11888短信，内容为翼支付的支付密码因3次输入错误被锁定。上午我给那个177打电话，响一声后提示已转到移动秘书台，于是我只能发警告短信过去。下午我老婆收到短信，内容为投诉已处理完毕，致电10000号询问，电信说由于已报警，所以按流程算结束。
12月07日：我老婆收到11888短信，内容为翼支付的支付密码因3次输入错误被锁定。
& & 这个事情，应该是由于网易邮箱脱库，导致密码泄露，而我老婆支付宝的用户名和密码又和网易邮箱一致引起的。我们自身肯定有问题，但我认为电信才真的负有不可推卸的责任！整个事情的关键点就在于电信通过本机来电和机主身份证即可随意办理业务这个规则的漏洞！首先，确认是否本机来电，现在应该不是通过sim卡信息，而仅是通过来电显示号码判断，网络上的变号软件，即可轻易突破此防线；其次，机主的手机号和身份证，在如今这个个人信息随买随卖的大环境下，也是非常容易被突破的。既然如此，电信是否应该有更严格的判断规则或辅助手段？可惜我甚至连禁止办理任何业务的权利都没有！只能眼睁睁地看着对方为所欲为，然后跟在后面擦屁股！那几天的奔波劳累，神经紧绷，由于银行卡挂失，导致每张卡40-60元不等的挂失费用，以及花费心力梳理调整那些与卡绑定，还可能影响到个人征信的自动缴费业务，直到现在晚上手机都不敢静音，只要听到手机提示音，就会莫名紧张的精神状态，这些或实际或身心上的损失，是不是电信应该为此买单？
& & 另外，关于这个案子，其实一开始我们就已经做好了不了了之的心里准备，但有些警员一副事不关己高高挂起的态度确实让人十分心寒。其实这个案子，完全是有迹可循的，至少手机号码和IP地址的吻合，就足以顺藤摸瓜继续调查下去。我们确实没有损失，但依照他这种手法和心态，必然有其他受害者！无法立案就真的与之无关么？难道就不能作为典型案例披露出来，提醒大家注意防范么？只能说不重视。”不怕贼偷，就怕贼惦记“，我现在是深刻理解了这句话的意思，而且我还有几个未解之谜，所以真的只有抓住对方问明情况，我们才能安心，可惜基本上不会有人做这个事情了。
& & 其实纵观全程，无论电信还是警方都有人不断说，”你这个说得好悬哦“，”像你这样说，不是哪个都跑不脱“，”对方要是有这技术，盗你们钱做啥子嘛“。其实我也很想给对方说，你如此执着地针对我们做什么嘛！！！但不得不说，虽然被盯上了，我们运气也真算好的，一是我们本来就是频繁用电脑与网络打交道的，能及时做出应对，二是电信10000号居然会打电话给我们确认是否办理超级信使业务，三是我老婆以前正好看过相关报道，在第一时间警觉此事，四是在对方只差最后一步的时候，我又及时醒来，所以我们将此事分享出来，给大家一些经验教训：
& & 1、一定不要用相同的通用密码！一定不要用相同的通用密码！一定不要用相同的通用密码！重要的事情说三遍！这个在很大程度上能避免你成为犯罪分子的目标！
& & 2、如果有可能，使用一些专用的手机，邮箱，银行卡，支付宝之类的，和日常的分开！
& & 3、注意一切和短信有关的东西！现在手机相关盗取，基本都是通过短信获得验证码的方式！比如运营商业务！比如要求发送短信权限的app！
& & 4、银行卡的快捷支付是无法取消的，支付凭证就是银行预留手机的短信验证码，这下你知道为什么犯罪分子要盯着你的短信了吧？
& & 5、四川电信，登陆网厅，有登陆信息的短信提示，拨打10000号，有费用信息的短信提示，如果是10000号人工服务，还会有服务评价的短信提示，如果收到这些短信，又不是你干的，就多留点心吧！
& & 最后，在这个强调实名制的今天，保护个人信息刻不容缓势在必行。不然，实名制就是一把双刃剑，在带来方便的同时，埋藏着巨大的隐患。同时，运营商在从传统向互联网发展的过程中，有的规则也必须改进和完善。基于此，我也恳请大家多分享出去，有舆论才会有压力，有压力才会有动力。
& & PS：那个谁，电信，把费用给我们报销了呗！
& & PPS：附上几个类似案例！全是电信！其中3个超级信使！电信！你看着办吧！
此帖系强大的第四城楼主原创，转载请务必捎上楼主，否则将启动咬人程序！
本帖最后由 zyacf 于 15-12-15 17:46 编辑
*通知用户必须以“@昵称”格式。中奖用户名单一经提交，将无法修改，请仔细确认后提交
版主，请帮忙加精或者置顶什么的，让更多人看到吧！
才看到，明天帮你推广
欢迎加入新闺蜜群：
二手置换群（老）：
线上二手交易群（不聊天只交易）：
加群请备注ID
好吓人喔，我也是用网易的
彼岸花——有花不见叶，叶生不见花，生生世世，花叶两相错～～
我今天：平常
妈的，都是些不作为的人。JCSS最重要的职责就是预防犯罪，不是抓犯罪分子，这些JCSS统统都该下岗
你 的这个故事惊险的都可以拍电影了， 要是电信JCSS都积极配合处理，将犯罪分子绳之以法，那就是正能量了
可惜，我们身边总是遇到负能量的事情
太恶心了，这些人把精力花在这方面，就为了干坏事，偷盗，迟早要遭到报应的
还好我把电信手机号注销了。。。
还好我把电信手机号注销了。。。
你敢天长，我就敢地久！
今日鲜花榜
今日鲜花帖}