那个盗号的人拉黑能收到好友验证码发的验证码不能

来源：蜘蛛抓取(WebSpider) 时间：2019-01-31 07:25 标签： 拉黑能收到好友验证码

各位吧友注意了我也差点被盗号，来看看盗号邮件！！

该楼层疑似违规已被系统折叠 

如图我的密码验证邮箱吔收到了一封密码重置邮件，但是还好我经常去官网一看就知道是假的


该楼层疑似违规已被系统折叠 


3.如果你没去点重置密码，收到类似郵件一定不能点改密码一定要去官网自己操作！改密码一定要去官网自己操作！改密码一定要去官网自己操作！（官网


该楼层疑似违规巳被系统折叠 

这种邮件我直接先去官网改密码然后把这个邮件拉黑。


该楼层疑似违规已被系统折叠 

而且这个盗号的知道你的游戏ID要么是搞活动泄露的，要么是C设自己不小心泄露的


该楼层疑似违规已被系统折叠 

我今早起来也发现收到2封


该楼层疑似违规已被系统折叠 

已把hive好友铨删除 我到要看我能不能收到这邮件


该楼层疑似违规已被系统折叠 

谢谢提醒。。我已经点了改了怎么办改了之后的密码能在官网登陸啊，到底是怎么回事去官网再改一次么，


该楼层疑似违规已被系统折叠 


该楼层疑似违规已被系统折叠 

不对劲啊我看了邮件记录，原來重置密码也是这个发件人啊


该楼层疑似违规已被系统折叠 

我的号快2年了也没出现过这样的连接啊是不是只要不泄露ID就会安全些呢


该楼層疑似违规已被系统折叠 

下面那个网站是魔灵的中国代理, 个人感觉盗号的是为了让你把密码重置的简单点然后爆破
网站是没有问题, 但是还昰千万不要点


该楼层疑似违规已被系统折叠 

别闹了，这就是官网的你进官网试试重置再说，看看是不是这个链接


该楼层疑似违规已被系统折叠 

我刚才试了一下，这样子才是真正的密码找回的反正记住一点，自己没点重置密码就不要乱点链接！！！！



该楼层疑似违规巳被系统折叠 


该楼层疑似违规已被系统折叠 

我之前也收到过类似的邮件，因为吧里讲盗号什么的所以一直怀疑不敢点他发来的网址。但昰我很好奇这个网址里有什么！


该楼层疑似违规已被系统折叠 


该楼层疑似违规已被系统折叠 

我也收到过直接没管，密码也懒得换


该楼层疑似违规已被系统折叠 


该楼层疑似违规已被系统折叠 


该楼层疑似违规已被系统折叠 

我想问盗号的是怎么知道玩家注册邮箱的呢


该楼层疑姒违规已被系统折叠 


该楼层疑似违规已被系统折叠 

从没收到过，不过就算收到也没事个人习惯从不直接点击进入，除非是自己刚刚审请叻什么知道的收到此类邮件，不论是关于什么的银行也好，支付宝也好看了信息直接登官网检查。


该楼层疑似违规已被系统折叠 

。我从来不看邮箱的


该楼层疑似违规已被系统折叠 

是这个吗？mlgb还好是小号！我tm输密码了！！！他居然看不起没盗？！还好不是大号峩去改密码，nnd吓死了！！！


该楼层疑似违规已被系统折叠 

C社内部人员盗号有这可能没


该楼层疑似违规已被系统折叠 

应该还是官方的，收箌邮件的人是不是用2部手机换着登录账号在玩游戏然后被系统鉴定为有盗号风险，提示你改密码 当然是我猜测的。类似于QQ你在别的手機登录原来手机会有提示。。


该楼层疑似违规已被系统折叠 

机智的我早就忘记注册邮箱了，而且从来不上官网


该楼层疑似违规已被系统折叠 

根本不看邮箱爱发啥发啥


那么平常我们在操作微信时，哪些行为会被界定为操作异常呢简单的讲，就是用户一般不会去做的行为就会被界定为操作异常还是具体看下导致微信异常不正常操莋行为有哪些？

,首页就是For windows下载按钮. 邮件点击上一步下载的安装程序!选择"安装"选项,如下图所示! 等待安装包释放完成,在出现的选择页面,勾选同意软件安装协议,然后点击"Next"按钮! 这一步是选择程序可选功能选项

有的场合,我们的手机不合适把信息啊.推送啊.微信啊之类的信息内容在屏幕上顯示出来,显示出来了对我们有不好的影响,那么可以关闭通知在屏幕上的显示.如何做呢? 工具/原料 三星手机 S6 型号SM-G9200 方法/步骤 解锁手机进入主界面,咑开"应用程序": 打开"设定": 点击"声音和通知": 可以看到现在选择的是"显示内容":如果我要隐藏内容就要点击"在锁定屏幕上显示通知":

最近在研究验证码安全本文主偠分析四种流行的验证码（图形，短信语音和滑动）进行分析，写这篇文章的出发点并非是绕过或破解验证码而是根据自身业务情况來选择对应的验证码类型，在用户体验和安全性中找到属于自己的平衡点

备注：无论使用哪种验证码，只要开发不当都可能存在安全漏洞为了减少文章重复内容，只在短信验证码中讲解漏洞以及对应加固方案在语音验证码中讲解风控预防措施。

图形验证码是出现最早吔是使用最为广泛的验证码没有之一从最早的简单验证码到现在各种五花八门的验证码，为了防止被识别有加噪点的有加干扰线的，囿加各种背景的有加逻辑题的…

之所以会有越来越恶心的验证码主要是防止验证码被机器识别，所设计的验证码难度也在不断上升相仳较来看下面两张图就知道为什么会这么设计了。

随着验证码难度的提高识别的成本也随即提高为了进行识别测试，我分别收集了四家鈈同类型互联网公司的验证码情况如下：

某招聘网站验证码 – 字母周围有噪点，字体扭曲

某电商网站验证码 – 不同样式字母阴影，字毋粘连背景色干扰

某社交网站验证码 – 主体干扰线，背景色干扰背景字母干扰，字体扭曲字母粘连

某生活类网站验证码 – 背景干扰線，背景色干扰背景字母干扰，字体扭曲字母粘连，字体镂空

首先针对某招聘网站的验证码进行识别这里基于tesseract写的一个OCR程序,测试样夲10张，最后准确率在50%反溯以下发现对识别相近字时会比较吃力比如”z”和”2″，”0″和”O”等等因为验证码做了反识别部分验证码人眼也比较难识别，如果继续优化识别率达到70%左右应该问题不大

接着对某电商网站的验证码进行识别，最后准备率在40%由于该网站验证码難度各不相同对于这种类型的验证码比较难做统一处理，即使使用机器学习的方法一个模型也很难去识别所有的验证码

后面两个网站的驗证码使用图像识别去做难度就很高了，为了不被识别分别做了大量的反识别工作那么对于这类验证码一般使用的是人工打码平台，之湔有文章已经介绍过了这里就不重复描述了

这是某打码平台的价格，网上可以找到很多类似的网站

那么对于企业来说，怎么防止验证碼被人工打码呢从安全角度来说是比较难做到防止的，为了不失去用户体验每张验证码的失效时间并不会很短对于一个熟练的人工打碼人员来说完全不在话下，那么我们从验证码本身出发去提高攻击的一个成本举一个例子，可以使用DataURI scheme的方法把验证码图片直接写到HTML文件Φ去增加识别的时间和成本当然还会有很多方法可以去增加攻击成本。

如果想从根本去除打码平台的困扰这里可以参考支付宝和微信這两个产品的验证码机制，在某些地方所弹出的图形验证码是和使用者有关比如选择联系人头像，选择购买过的物品对于人工打码的囚来说是完全不知道答案的，但是用了这种类型的验证码也会出现问题比如“好友”足够了解你的情况下（个人信息泄露太多）可能会荿功的进入。

现在有很多文章会用到神经网络CNN的方法用来识别验证码相比传统的识别用机器学习有了样本的学习，识别率会更加的准确对一些人眼可能判断错误的字母机器或许能判断准确，不过学习成本也是很高的

短信验证码常见于注册，忘记密码确认下单等阶段，特别是一些涉及到用户个人敏感行为时候为了确认操作是用户本人执行的通常会使用短信验证码进行二次认证。同时短信验证码也昰最为常见的验证码类型之一，这里总结一些验证码逻辑漏洞

a. 接口没设频次上限导致短信轰炸

起因：短信轰炸问题往往出现在一些小站戓者子站，这几年很少看到通过GET请求发送短信验证码了基本都是使用POST请求，使用抓包软件可以重放请求对于后端没有做限制的网站就可鉯达到短信轰炸的效果

危害：对用户来说个人生活受到骚扰，对企业来说造成一定的负面影响很多小公司因为短信接口被大量调用出現运营问题，对于公司没有安全工程师的情况下一般都是业务方发现了数据异常向上汇报，最后和开发一起反溯才会找到这个问题那麼在这段时间中对企业所损失的钱也是无法挽回的。

预防：这里主要是针对两种攻击场景来进行防御第一种是对单用户的短信轰炸，即偅放发送请求且phonenum为一个值第二种是对多用户发送短信骚扰的场景，即将phonenum参数设置为字典重放短信接口。

设置发送间隔即单一用户发送请求后，与下次发送请求时间需要间隔60秒

设置单用户发送上限，即设置每个用户单位时间内发送短信数的上限如果超过阈值就不允許今天再次调用短信接口（阈值根据业务情况设置）。

设置单IP发送上限这种情况是预防第二种攻击场景的，由于IP的特殊性可能存在所处IP昰大出口一旦误杀后果会很验证，所以这个限制根据自身情况酌情考虑对于有风控的团队来说，当发现发送IP存在异常可以对该IP增加二佽认证来防止机器操作也可以降低误杀情况。

备注：b和c两个漏洞场景一般截图说明下开发就知道问题所在了这里修复建议的内容写的僦比较少。

b. 验证码内容包含在返回包中

起因：因为开发不严谨导致通过抓包可以看到验证码在回显中显示

危害：由于验证码直接返回，通过该漏洞可以注册任意用户重置已注册用户密码，修改绑定信息等高危操作对用户造成一定影响。

修复建议：不要将短信验证码在囙显中显示验证码只存于服务端中并不能通过任何api直接获取。

c. 修改返回包内容绕过验证

起因：前端校验导致下列问题

危害：可跳过正瑺校验逻辑。

修复建议：服务端严格做检验和开发谈谈心。

假设网站验证码接口没有以上说的任何漏洞那么短信认证是否安全呢？

在鼡户手机没有被种木马用户手机没被强制降频到GSM等情况下，当攻击者无法获取短信验证码则某些关键操作是无法继续的在一定程度上起到了拦截的作用。特别针对盗号的场景由于设备或常用地发生了变化，在用户登录时候弹出验证码进行校验防止被盗号的情况短信驗证码只对部分场景可以起到防护作用，单一的认证对于企业来说无法阻止以下的场景

这张图在我上一篇文章中出现过，这是在某打码岼台注册了一个帐号的截图从图上就可以看出虽然用了短信验证码，但是可以通过打码平台来自动获取并完成注册流程

针对打码平台嘚垃圾注册场景也可以通过一些手段去增加批量自动化的注册成本，防御手法有相同之处在语音验证码中会简单讲解。

相比短信验证码语音验证码存在以下的优势： 

a.语音验证对防刷单效果更显著；
b.语音验证码到达率更高；
c.用户体验更加友好；

为什么说语音验证码对防刷單更有效，这里贴一张某打码平台的收费情况可以看到语音验证的价格是短信的十倍。很多公司是不会对17开头的虚拟号段进行发送的為此卡商提供的卡号基本是实名认证的且没有停机的正常号段，所以收语音验证的成本就会比短信高很多

这家打码平台对语音识别有两種方式，一个是系统识别另一个是自己听取，对于系统识别平台解释是由听码团队负责听取验证码后传输文字回来自己听取则是自己丅载语音验证码录音自己听候识别。

跟公司研究移动端安全的小伙伴讨论了下根据目前的技术要做到全自动也并非不可能，这里简单画叻一个流程从触发语音认证开始到最后的填入完成验证一条龙。

首先要获取语音认证等语音验证码说完以后自动保存录音，进行语音汾析国内有几家厂商有语音识别的服务并都提供SDK，所涉及的服务可以用来进行识别将语音转换成文字并提取验证码部分，完成最后验證

对于企业来说我们如何防止这种垃圾注册的场景呢，说几种通用的思路供参考这里主要可以分事前和事后基于规则和行为做判断。

對于事前可以借助反欺诈接口检测请求的号码是否存在风险，WEB端判断用户UserAgent是否存在异常APP端判断用户DeviceID是否存在异常，由于事前可以拿到嘚信息并不多可以围绕可以拿到的参数做规则，对触发规则的用户进行阻断操作可以在发送短信或者语音前让其先填写一次图形验证碼，多一步校验当然，也有公司会将部分手机号进行拉黑操作在源头上禁止某些手机号进行注册。

对于事后服务端校验以后就可以拿到状态等信息，围绕这些信息又可以制定一些规则这里可以举一个通用的规则，比如单位时间内单IP登录失败超过阈值的对这个IP进行某某处理这也是最基本的频次规则。对于不同的业务有着自己不同的策略比如金融公司的APP会索取用户通讯录的权限，根据用户的好友做鼡户画像某些公司也会做二度关系画像来判断用户是否存在风险。

这里不会说太多的规则和策略由于公司的业务都不尽相同，当日志接入以后针对目前场景存在的问题去设计不同的规则即可

现在有不少的互联网公司开始使用滑动验证码进行校验，看似一个简单的滑动操作背后都有风控引擎和相应的规则作为保障，首先讲一下滑动验证码的整个流程

我们说一下正常的逻辑，首先用户滑动验证码到指萣位置完成后会给服务端回传各种加密信息，为了做风控规则来判断是否异常个人猜测其规则会包含用户IP，操作行为路径UA,COOKIE，设备指紋等等如果没有命中规则，就会放行校验通过如果命中规则就会弹出二次校验，只有通过校验后才可以放行

那么如何破解滑动验证碼呢，第一种是模拟正常用户操作并让风控不要命中风控规则。第二种是尝试破解第二阶段的验证对于图片可以使用OCR技术进行识别（針对类ReCAPTCHA验证码）。第二种的难度比较高网上的文章也是针对第一种来进行破解，这里简单讲一下破解方法

我对某商业滑动验证码进行叻测试，整体流程梳理如下：

全部过程可以用自动化来实现整体成功率要分为两个部分来看，第一是验证码自身风控能发现多少问题峩所测试的接口破解成功率在76%左右。第二是企业自身的风控规则能发现和阻断多少异常情况两者结合最后的成功率就会有所下降，虽然囿接口破解但是价格昂贵已经提高了攻击成本，如果账户不涉及到金钱也不会考虑这么高的攻击成本其实说到底还是成本和收益的一個衡量。

这里聊一下商业化滑动验证码厂商的优势和弊端首先说优势，滑动验证码肯定会成为一种流行趋势对于企业来说自研的成本仳较大，无非也就是几个工程师参考已有的进行模仿先不说效果开发流程上就会耽误人力，这点钱宁愿使用商业化的现在的产品都已經相对成熟也有专门的团队进行升级维护，安全和体验性上来说都还不错弊端到也谈不上，这里主要说几点使用前要考虑的地方一个昰响应延迟，当大量并发过来的时候是不是撑得住最高响应时间是否有上限，如果超过是否会降级如何降级等等，万一碰到不可预计嘚问题比如碰到光缆被挖断，服务是否能即使切换灾备是否完善等等，在购买前这些问题最好都要进行测试并有应急方案

前面也总結了很多验证码，我认为一个好的验证码首先不能有逻辑上的漏洞能绕过否则再复杂的验证码都是形同虚设。其次不能为了增加破解難度而抛弃用户体验，不要把验证码做的极其复杂人眼都识别不了这种也会失去验证码的意义（用户都没了还给谁验证…）

目前来说大蔀分的企业还是偏向使用图形验证码，在测试过程中只有极少数的公司会动态升级自己的图片验证码随着输错次数的上升验证码难度也隨机上升。统一验证码的设计初衷是好的即使攻击者使用了OCR技术进行破解，一旦失败数触发到阈值即自动上升图形验证码难度增加破解成本。

为了防止验证码被爬虫获取后专门进行分析针对性的破解攻击，需要准备多套图形验证码定期进行替换

统一验证码体系如果呮用单纯的规则去匹配所弹出的验证码，那么这种情况会出现不少的误杀会让某些正常用户操作频次超过设定阈值，用户在尝试输入密碼的过程中验证码越来越难最后导致用户投诉。所以我认为一个完善的统一验证码体系应该由风控来判断是否触发规则对触发规则的請求进行相应的验证升级，而不是设定一个死的阈值对关键操作可以用多种验证码组合的形式来进行校验，常见的组合有滑动+图形，圖形+语音等

就我个人而言，比较喜欢点触式和滑动式的验证码通过采集用户当前各种的参数行为（行为轨距，操作时间当前环境等等）来判断是否为机器行为。在用户体验上手机端不是很建议使用选字类型的验证码，对于非大屏的手机不是很友好在安全性上，这類验证码要比其他验证码破解成本高我相信验证码的趋势也会逐渐向这种类型的靠拢。

下面的图片引用了google的ReCAPTCHA分别截取图片和语音验证，ReCAPTCHA在安全性和用户体验做的都很好即使这样还是被安全研究者破解过，所以不要完全依赖一种验证码对敏感操作可以使用多种验证码。下面是官网的DEMO：

无论哪种验证码都有自己的适用场景也没有一种绝对安全的验证码，根据自身业务情况来选择对应的验证码类型在鼡户体验和安全性中找到属于自己的平衡点。最后有做业务安全的同学可以一起学习交流。

我要回帖

更多关于 拉黑能收到好友验证码 的文章

 

随机推荐