短信验证码真的安全吗？你必须知道几种泄露途径并加以提防
我的图书馆
短信验证码真的安全吗？你必须知道几种泄露途径并加以提防
这篇文章写了又删，主题太大，能写的太多，但看见这个案例及下边的回答我决定从整体角度好好写写。情况是这样的：昨天（3月10日）晚 11 点半左右，我的手机忽然收到一大堆包含手机验证码的短信，包括财付通、当当网、天翼视讯、无线城市等。当时以为中了谁的「呼死你」，觉得只要先关闭短信铃声，可以明天再想办法。谁知接下来的事就让人坐立不安了：手机上接连收到了招行快捷支付的消息，每笔间隔一两分钟，金额都是 195 元，我连忙在电脑上打开网银，发现自己的银行卡竟然真的出现了这些交易记录。于是我拨打了 95555 询问招行，招行的说法是这些交易都来自财付通的快捷支付，具体到底是微信还是 QQ 只能去问腾讯，他们只能冻结银行卡避免更大损失。于是我打电话给腾讯，结果夜间人工客服都歇了，直到今天早上才拨通。腾讯的说法是这笔消费通过京东购买了游戏点卡，给了我订单号，让我先联系京东，他们再跟进处理。当我联系京东之后，对方查到了消费记录，但说法是虚拟商品一经购买就无法退回，要求我先报警。而通过 110 转接到派出所之后，民警建议我先不要申请立案，否则商家和银行就不愿处理了，应该直接通过银行追回损失，必要时可以起诉。总结起来就是招行卡被人绑定了腾讯的快捷支付通过京东购买了商品，每一家都把责任推给下一家，最后民警又推回了银行。（from: 银行卡被人开通了快捷支付并被盗刷应当如何追回损失？）值得一说的是这个资金转移流程跟洗钱很相似：短信验证码是怎么泄漏的没法下结论，我整体的讲一下所有真实攻击中一些 Hack 短信验证码手段的技术细节。九个层面发送验证码的应用这个层面不是劫持，而是绕过短信验证码的检测机制达到攻击目的。应用验证出的漏洞比较多，包括微信、微博、QQ，但由于利用起来动作比较大漏洞容易掉，所以这个层面的漏洞真正用来利用的比较少。一般验证流程：生成验证码 -& 保存到 session -& 发送验证码 -& 用户提交 -& 把提交的与 session 中的比对每一步理解不透彻都会带来问题存在其它漏洞导致 session 中的数据可被读写厦门航空一系列安全漏洞打包广发证券的一些漏洞打包发送后将验证码返回给了客户端新浪某站任意用户密码修改（验证码与取回逻辑设计不当）第三方支付平台支付通爆严重漏洞,短信验证码直接隐藏在页面对用户提交没有限制导致可暴力猜测验证码微信任意用户密码修改漏洞聚美优品#2重置任意用户密码验证码没有跟账户绑定导致任意验证码都可通过验证OPPO修改任意帐号密码OPPO手机重置任意账户密码（3）推送验证码的云服务商云时代，你手机收到的 APP 的短信大多都是通过短信推送平台发出的，那也就不可避免的带来了「第三方安全风险」，黑客只要把平台拿下，流过的短信都能看到，算是一个比较薄弱的环节。酷讯网短信发送系统弱口令(一千多万已发送记录包含用户密码)建周短信平台某数据库未授权访问（大量用户电话/短信内容泄露）能看到短信能干嘛？扩大渗透战果UCloud设计不当导致防火墙被绕过+第三方问题移动运营商国内三大运营商对短信、通讯记录读取这些隐私接口管理得还是很混乱，所以黑客可能不经意黑下一套系统上面可能就有这些接口。或是一些混乱的「新业务」的漏洞导致短信可以被截取。这个层面的漏洞有「上行」和「下行」之分，有些漏洞能看到你发出的短信，有的能拦截你收到的短信。案例并不少，有些还是今年的：中国移动中国移动某平台存在弱口令（泄漏用户上行短信内容与用户姓名）某漏洞可导致任意登录中国移动他人139邮箱中国移动通行证平台重大漏洞 (可登陆任何手机邮箱，彩云等)中国联通中国联通某系统存高危漏洞可致相关信息记录\LBS\社会等信息泄露风险中国联通某业务getshell可泄漏大量用户服务密码，可查通话、短信、上网等记录从一个漏洞到再次沦陷中国联通企业信息服务平台(含32个省)中国电信中国电信某短信平台存在shell（N万短信随便你轰炸）某省电信短信发送web service无权限验证，可发任意电信用户任意短信内容中国电信天翼短信助理泄漏大量用户短信（如机票、火车票出票信息泄露）蜂窝网络主要是伪基站和 GSM 嗅探了，需要提的一点是，很多人觉得自己不是用的 GSM 网络就不会被攻击了，如果你的 3G 信号被屏蔽了呢？伪基站伪基站 + 钓鱼 = 完美黑产 - 乌云君探秘伪基站产业链京信通信HNB-10,A01L型Femto基站各种权限控制问题，可被用作伪基站群发垃圾短信等非法用途GSM 嗅探GSM Hackeing 之 SMS Sniffer 学习GSM HACK的另一种方法:RTL-SDR手机 AppApp 之间有时候也是需要相互通信的，需要通信就需要协议，这个协议在开发者使用的时候也经常会带来安全问题。拦截短信：LBE任意号码拦截漏洞（可使恶意软件绕过短信权限控制）安全管家客户端任意号码拦截漏洞（可使恶意软件绕过短信权限控制）手机木马这个点太大，主要集中在 Android，iOS 虽然也有一些可以利用的漏洞，但性价比太低，所以被用来赚钱的并不多，我说下我所了解的一些植入方式：连接了公共的 WIFI 被植入不用多说，危害有多大都被说烂，走路上突然连上 WIFI 也是常有的事。想自己试试可以用自己用手机开个热点，把信号名设置为「CMCC」，找个人多的地方安静的坐着就好了。噢，对了，不要设密码，然后，小心流量。（深入了解看这：无线应用安全剖析）你的Wi-Fi出轨了你造么？- 乌云君公共无线安全——FakeAP之WiFi钓鱼使用WiFi真的有那么危险吗？USB 插入了被感染过的机器新病毒可顺着USB数据线钻到Android手机里勿随便开启USB调试！新PC病毒可感染安卓WebView 远程命令执行搜狗输入法远程代码执行可以恶意利用劫持用户输入UC浏览器HD版本远程代码执行漏洞微信android客户端最新版远程代码执行(可远程种植后门控制用户)下载过被植入木马的 APKAPP 渠道被入侵用一个低级的漏洞向豌豆荚用户手机后台静默推送并安装任意应用用另一个低级的漏洞向豌豆荚用户手机后台静默推送并安装任意应用令人堪忧的app工厂安全（一个弱口令影响整体安全）APP 被入侵导致被强制推送木马中国电信某省智慧城市多个漏洞已shell（可全省推送信息）中国电信官网(www.189.cn)钓鱼挂马以及电信营业厅安卓客户端定向\集体推送更新(绑马)等高危漏洞合集手机厂商自带后门酷派官方静默安装apk功能后台存在高危漏洞(演示定制机是如何在你的手机默默安装)通过二维码、短信、色情诱导等方式散播的恶意 APKXXshenqi.apk，很多时候我都觉得离漏洞越远的攻击方式越有生命力。Android敲诈病毒分析探秘短信马产业链手机云同步短信现在很多手机都是自带「云」的，同步短信是一个很常规的功能。小米云用户库泄漏各种照片流出也说明了云同步的问题。当然，通过这个方式劫持有个前提条件就是同步应用的频率比较高。攻击方式除了渗透还有「XSS 定向攻击」：OPPO手机同步密码随意修改，短信通讯录随意查看通过小米账户XSS窃取超私密资料，危害严重Gozap某处未授权访问（泄漏上亿条蜡笔同步用户短信、照片等记录）手机卡被非法补办这种手段要实践起来成本比较大，不一定能成功，大家看看下面这两个白帽子的真事案例，这种攻击方式是真实存在的。这个是线上的，4G 用户可以申请 4 张：移动手机卡补办就是这么简单（换卡服务存在缺陷会导致黑产利用）这个是线下的，之前发出来争议一直很大：移动「4G」卡所带来的威胁 - 乌云君手机丢失想像一下，如果你现在手机丢了，你会损失什么？这个主题有白帽讨论过，主要是对手机 App 的账户体系的质疑，不只是短信验证码，如支付宝的小额不需要验证就可以支付，大家可以看看：如果你手机丢了，你觉得会损失了什么？『可能你觉得手机本身的价值没什么，通讯录才是重要的。在偶年幼无知的时候 …… 觉得手机丢了，QQ也会丢了。但是，还是在偶年幼无知的时候，发现 …… 手机丢了，也许会欲哭无泪！想像一下，如果你现在手机丢了，你会损失什么？』 最后总结一下就是不要相信100%的短信验证码安全，需要我们平时注意去甄别与应对这些陷阱或是盗取。
TA的最新馆藏[转]&[转]&[转]&[转]&[转]&[转]&
喜欢该文的人也喜欢当前位置 & &
& 手机短信验证码真的安全吗？
手机短信验证码真的安全吗？
07:41:46&&出处：&&
编辑：万南 &&)
让小伙伴们也看看：
阅读更多：
好文共享：
文章观点支持
文章价值打分
当前文章打分0 分，共有0人打分
[01-11][01-11][01-11][01-11][01-11][01-11][01-11][01-11][01-11][01-11]
登录驱动之家
没有帐号？
用合作网站帐户直接登录当前位置：
短信宝短信验证码开发教程 - 4.后端篇
这篇文件教大家怎么处理后端的业务逻辑。后端的业务我把它分成2块来处理：1. 获取短信验证码的业务处理。 2. 提交表单完成模拟注册。
一. 获取短信验证码 ：打开sms/register.php这个文件，在表单中找到&获取验证码&的button标签。获取验证码是通过这个按钮触发js事件，ajax调用后台接口来完成发送的。
我们在sms/tool目录中，创建一个sendCode.php文件，这个php文件主要用于处理后端的发送短信验证码业务。我先来阐述一下开发的思路：&
1. 引入数据验证类，sms/tool/CheckTool.php&
2. 接收前端ajax发送过来的表单数据：用户的手机号码和图形验证码。&
3. 验证表单提交的数据合法性。&
4. 如果数据全部合法，就调用短信宝的短信接口，发送短信验证码。&
5. 最后记录发送时间和发送的手机号码。这一点很重要，可以用来限制一个手机号码，在一段时间里面只能对短信宝的短信接口请求一次，从而限制了重复提交。我这里为了演示方便，把时间记录在session里面，小伙伴们也可以记录在数据库里面。&
代码如下：
require 'CheckTool.php';
$statusStr = array(
&0& =& &短信发送成功&,
&-1& =& &参数不全&,
&-2& =& &服务器空间不支持,请确认支持curl或者fsocket，联系您的空间商解决或者更换空间！&,
&30& =& &密码错误&,
&40& =& &账号不存在&,
&41& =& &余额不足&,
&42& =& &帐户已过期&,
&43& =& &IP地址限制&,
&50& =& &内容含有敏感词&
$res = array();
$postCode = trim($_POST['code']);
$postPhone = trim($_POST['phone']);
$isOk = CheckTool::checkCode($postCode);
if (true !== $isOk) {
echo responseErr($isOk, 'code');
$isOk = CheckTool::checkPhone($postPhone);
if (true !== $isOk) {
echo responseErr($isOk, 'phone');
$isOk = sendSms($postPhone);
if (0 != $isOk) {
echo responseErr($statusStr[$isOk], 'send');
$res['flg'] = 1;
$_SESSION['send_time'] = time();
$_SESSION['send_phone'] = $postPhone;
echo json_encode($res);
* @return string
function sendSms($phoneNum) {
$data = include('../config/config.php');
if (empty($data)) {
return &40&;
$url = 'http://www.smsbao.com/sms?';
$userName = $data['smsbao_name'];
$password = md5($data['smsbao_password']);
$phone = $phoneNum;
$code = rand(100000, 999999);
$content = '【短信宝】你的短信验证码为'.$code.'，请及时查收，如非本人操作，请忽略。';
$url .= 'u=' . $userName . '&p=' . $password . '&m=' . $phone . '&c=' . urlencode($content);
$_SESSION['sms_code'] = $code;
return file_get_contents($url);
* @param $type
* @return string
function responseErr($msg, $type)
$res = array();
$res['flg'] = -1;
$res['err'] = $msg;
$res['type'] = $type;
return json_encode($res);
二. 提交表单完成模拟注册: 当收到短信宝接口发出的短信验证码时，把验证码填入到表单中，点击提交按钮就完成了整个模拟验证过程。&
表单提交到当前页面上，也就是sms/register.php中。我们先分析一下，具体需要做哪些事情：&
(1). 当页面加载时，获取用户上次发送短信验证码的时间，以及当前时间。如果：当前时间 - 上次发送时间 & 间隔时间，那么前端的发送按钮进入倒计时状态。&
(2). 验证表单提交的数据。成功后跳转。&
代码如下：
session_start();
require('tool/CheckTool.php');
require('tool/Helpers.php');
$diff = '';
if (isset($_SESSION['send_time']) && is_int($_SESSION['send_time'])) {
$currentTime = time();
$diff = $currentTime - $_SESSION['send_time'];
$diff = $diff & 60 ? 60 - $diff : '';
if (!empty($_POST['is_send'])) {
$data = Helpers::removeSpaces($_POST);
$res = CheckTool::exec($data);
if (!is_array($res) && true === $res) {
$_SESSION['sms_code'] = null;
$_SESSION['send_phone'] = null;
unset($_SESSION['sms_code']);
unset($_SESSION['send_phone']);
header(&Location:login.php&);
提交完成后，跳转到成功提示页面sms/login.php中。代码如下：
&!DOCTYPE html&
lang=&en&&
charset=&UTF-8&&
&登入页面&
style=&text-align: margin-top:30 font-size:25&&恭喜你！登入成功！
style=&color:& href=&register.php&&返回&注册界面。
好了，后端的业务逻辑都在这里了。关于前端的接口调用，短信发送后的倒计时等功能，我们留到这个系列的最后一篇，&前端篇&来介绍。
客服邮箱：
关注短信宝
Copyright (C)
smsbao.com All Rights Reserved
上海子橙电子科技有限公司 沪ICP备号-1 上海市松江区广富林路658弄215号10086发短信验证码是用来查什么的?_百度知道
10086发短信验证码是用来查什么的?
我有更好的答案
如果凭空收到一个验证码，那可能是别人在用你的手机号注册信息，如果不是你本人操作千万不要像别人透露验证码
为您推荐：
其他类似问题
换一换
回答问题，赢新手礼包
个人、企业类
违法有害信息,请在下方选择后提交
色情、暴力
我们会通过消息、邮箱等方式尽快将举报结果通知您。合通启短信平台注册短信验证码多少钱一条？_百度知道
合通启短信平台注册短信验证码多少钱一条？
我有更好的答案
韩国，这时候请联系运营商进行解除，或者微信客户端是否未成功发送验证请求导致短信无法接收，需要开通漫游服务才能正常接收，如果手机不在归属国家或地区。如果您的手机号在运营商侧屏蔽了梦网信息如出现这种情况，会导致无法接收系统下发的短信，请检查您的手机是否安装了安全类软件拦截了短信、香港、美国，建议耐心等候或稍后再试台湾。温馨提示、日本等100多个国家和地区的手机验证码下发。有些地区可能会有延迟
为您推荐：
您可能关注的内容
换一换
回答问题，赢新手礼包
个人、企业类
违法有害信息,请在下方选择后提交
色情、暴力
我们会通过消息、邮箱等方式尽快将举报结果通知您。}