在對客戶網站以及APP進行安全檢測的同時，我們SINE安全對驗證碼功能方面存在的安全問題，以及驗證碼漏洞檢測有着十多年的經驗，在整個APP，網站的安全方面，驗證碼又分2種，第一個是登陸的身份驗證碼，再一個對重要的操作進行的操作驗證碼，雖然從名字上都是驗證碼，但這兩種所包含的内容是不一樣的。
登陸身份驗證碼的功能是用來判斷目前賬戶登入是否是賬戶者本身，簡單來說是判斷是否是賬戶的擁有者，用驗證碼來校驗，使用者新增賬號的時候都會填寫手機号，那麼手機号就作為身份唯一的證明，通過接收短信驗證碼來登陸網站，以及APP。重要操作方面的驗證碼，比如一些資金，提現，轉币，充值，修改銀行卡，牽扯資金類的重要操作，含有這個修改密碼等等的屬于操作類型的驗證碼，為的是防範别人盜用賬戶，對賬戶進行篡改，給賬戶擁有者帶來損失，把握風控。
這兩種驗證碼的功能都不一樣，是以在對APP，網站進行安全檢測的同時，查找出來的漏洞，以及發生的安全問題，都不一樣。我們SINE安全工程師在對其他客戶平台，APP進行測試總結下來的經驗，來跟大家講将驗證碼安全上的問題。
使用驗證碼為的就是提高APP安全，網站的安全性能，解決網站賬戶被暴力破解，頻繁的API通路，重要操作上的驗證碼二次确認，防止惡意操作導緻使用者賬戶本身受損失，這些安全方面，都是為了差別開軟體與人工，當使用者被暴力破解，一般都是采用軟體進行攻擊操作，包括頻繁的通路某一個API接口，也都是由軟體實施，人工根本不可能實作。驗證碼安全檢測，主要從以下幾個方面進行測試：
驗證碼是否可以重複利用，驗證碼是否可被軟體ocr文字自動識别，驗證碼是否被可以被繞過，驗證碼在一分鐘内是否有數量的安全限制，驗證碼的生成規則是否可逆，輸入驗證碼出錯的次數是否會開啟二次安全驗證，根據近10年的安全測試經驗，我們SINE安全統計發現驗證碼被重複利用，被自動識别這些漏洞是經常出現的，下面講一下驗證碼被重複利用漏洞：
正常來講驗證碼在設計過程都是與session值進行綁定，當session産生第一時間，驗證碼也會緊跟其後，也會直接生成與目前的session值進行雙向的綁定。當使用者通路APP，網站登入的時候，會自動加載驗證碼，登入請求到資料庫進行查詢比對，使用者的賬号密碼是否正常，驗證碼也會判斷是否正确，但這兩個請求是分開來的，一個走資料庫，一個走驗證碼，各盡其責。如果是可以先請求驗證碼，再請求資料庫，這就導緻安全問題的發生，APP的開發人員在設計的時候大多數考慮的是驗證碼是否輸入正确，如果正确就通過，而忽略掉了可以調換業務流程的先後順序，要判斷登陸與驗證碼的請求是否同步，在這個細節上，導緻驗證碼被重複利用。
我們在測試其他客戶APP，網站的時候，使用者登入時候先輸入驗證碼，驗證碼通過安全校驗後，直接可以進行登入使用者賬戶與密碼，在這個過程可以導緻暴力破解的漏洞産生。
下一篇我們将會分享驗證碼被自動識别漏洞，希望我們的分享能給網站營運者與開發人員一些幫助，當在開發APP，網站驗證碼功能上一定要謹慎，根據我們分享的安全問題着重測試，并修複漏洞，完善網站的整體功能。