漏洞原理到利用 之 逻辑漏洞

现在某些验证码不再是区分人类还是计算机，有一类验证码是证明身份的：短信验证码、邮箱验证码。
常见验证码：4位数字、6位数字（6位以上或有字母的很少）
1、验证码会返回客户端：
发送时抓包，查看返回包（里面可能有验证码）即可（右键点击抓包后的Burp页面，Do intercept -> Response to this request）。
2、业务流程缺陷
找回密码分两部分（1、校验部分 2、修改部分），在发验证码时，直接访问修改部分网站，跳过了中间过程。
比如自己试一个修改密码，记录第二部分的URL，在发验证码后跳转到该页面（已更改传参中用户名为自己的用户名）。
（改密码才行，登录不行，登录不会有这个本质问题）改别人密码发送验证码时，抓包，把手机号码改成自己手机号，验证了后改了别人的密码。（关键在于开发没有校验手机和账户的关联）。

3、验证码无时间间隔
4、验证码可爆破：
直接抓包跑即可。
防御措施：提交错误后，要求必须重新发送验证码。
5、验证码由客户端生成。