本文为学习笔记，仅限学习交流
不得利用、从事危害国家或人民安全、荣誉和利益等活动
8-23 业务逻辑漏洞
高危漏洞：
验证码重复利用 — 恶意用户批量注册
注册页面，正常输入注册相关信息。
打开BP，开启代理服务
点击注册同时抓包
抓包的注册信息，ctrl+l 发送到intruder
(清楚显示注册信息账户名密码…等信息，此网站存在明文传输漏洞)
双击选中账户名，点击add
Payloads 页面
1，添加批量注册账户名
2，intruder 发送-攻击
3，查看返回包 ，length 长度来判断
查看返回包具体内容，都显示操作成功
批量注册的账号登录
登录成功
tips:
如提示账号需管理员激活
操作如下：
用管理员账号登录 - 用户管理 - 会员功能配置
会员注册 - 开启 - 保存
防护：
1、验证码 次数限制
2、验证码 时间限制
