，微软的后端肯定存在一定的速率限制，以阻止我们进行大量的尝试bqg84◇combqg84◇com”
刘鑫打开自己的小工具，随意输入了一个1234567的安全码提交，然后将向代码验证端点发出的HTTPPOST请求拦截，然后将拦截到的详细代码展现给张莹看bqg84◇combqg84◇com
“你看在这个请求的详细代码中，我们可以看出不存在我们输入1234567安全码bqg84◇com它已被加密，然后发送以进行验证bqg84◇com我猜想开发人员这样做的目的是为了防止自动暴力破解工具对其系统进行利用bqg84◇com”
张莹：“你的意思是说，我们无法使用BurpIntruder之类的工具自动测试多个代码，因为它们不会执行加密bqg84◇com那下一步是不是我们必须要搞明白这里用的加密技术？”
刘鑫点了点头道：“完全正确，不过这个问题不难，因为微软所用的加密技术在过去几年都没有变化过，所以我很轻易的在一个国外的技术论坛上找到了几种微软常用的加密技术，我逐一测试后，找到了正确的加密方法，并且能够自动的完成从加密代码到发送多个并发请求的整个过程bqg84◇combqg84◇com”
张莹：“刘鑫你太聪明了，你是怎么想到的，我怎么就没想到？”
刘鑫：“这个其实很简单的，我其实没有用太多的技术，你看我发现的这个漏洞，就是微软已经公布了的，只是我喜欢阅读他们的技术文档，因为这对我来说阅读这些技术文档，对我的帮助很大，远远胜过只读那些死板的教材bqg84◇com”
张莹：“这就是社会工程学吗？”
刘鑫：“可以这么说，其实很多新漏洞，都是过往很多漏洞在其他方面的错误重复，我们大部分的时候，都可以根据以往的错误，来寻找新的漏洞，因为错误总是会重复出现，又或者说程序员总会犯差不多的错误bqg84◇com”
张莹：“那测试的结果怎么样？”
刘鑫：“我的初始测试结果，表明存在速率限制，这符合我的预期bqg84◇com在发送的1000个代码中，只有122个能够成功通过，其他代码则受到1211错误代码限制bqg84◇com而且如果我们不断发送请求，它们将阻止相应的用户帐户发送进一步的尝试bqg84◇com”
“接下来，我尝试通过发送并发请求，以绕过速率限制，从而允许我们发送大量请求bqg84◇com但是当注入正确的7位数安全码时，我依然无法获得成功的响应bqg84◇com这意味着，开发人员可能已经采
点击读下一页,继续阅读 隔壁刘总 作品《影视世界从欢乐颂开始》第一百三十五章 黑客刘鑫拿下5万美金