短信平台相关常见问题整理 - FreeBuf互联网安全新媒体平台 | 关注黑客与极客
短信平台相关常见问题整理
共207408人围观
，发现 14 个不明物体
在近期的渗透测试项目中，在短信平台相关功能都出现了一些问题，现对渗透过程中发现，及wooyun上出现的相关短信平台的几类问题做个整理。
一、短信发送无频率限制
通过wooyun上搜索可见，该类漏洞是最为常见的。
漏洞相关链接：
万网发验证信息，无限时。无限次数形成短信轰炸
盛大网络短信ddos攻击漏洞
漏洞成因： 对发送信息功能调用未做任何限制
漏洞危害：
1、可针对某用户短时间内发送大量垃圾短信，造成短信轰炸攻击；
2、对于企业，每发一条短信，都是需要向运营商交付一些费用，尽管比个人用户费用低，但是一旦被恶意利用大量发送后，造成较大的直接经济损失。
漏洞修补：
1、限定同一手机号在一时间段内发送次数，如每分钟发送1次，具体落实需结合用户体验综合考虑；
2、使用强壮的验证码机制。
补充：曾在测试中发现某客户的验证码有效期为2分钟，即2分钟内无需修改验证码直接成功回放请求包，同样可造成短信炸弹工具。因此，务必保证验证码的强壮型，并采用一次一用机制。
二、短信发送内容来自客户端
这类漏洞一般不直观，直接由用户输入来定义短信内容的问题确实没遇到过，这里的漏洞是把短信内容放在的POST表单中，从页面上无法发现，需要抓包分析才能看到。
相关漏洞：
（知道这漏洞是哪家的同学也请嘘，咱不讨论它是谁的，另漏洞已经修补了）
某系统可以在WEB页面上选择手机品牌和型号，填入手机号码可发送下载地址至手机，具体操作界面如下图：
抓包查看该POST表单的内容
正常情况下，用户收到的短信即为客户端提交的内容：“var1下载：var2”，var1和var2分别为手机品牌和手机型号。
例如“NOKIA
N97下载：wap.abc.com.cn/abc.sisx”。
由于短信内容为客户端定义的，即修改var1=NULL，var2=“恭喜您中奖，请登陆XXX领取”。此时目标手机收到短信为：“下载：恭喜您中奖，请登陆XXX领取”。最终造成钓鱼攻击。
漏洞原因：
直接原因是客户端可控制短信内容。但更深层次去追究，实际上是开发人员追求性能和效率，把重要的操作分发给客户端去做，而忽视其中安全问题导致的，这也是开发人员考虑问题重心偏移和安全从业者不同的体现。类似，为追求性能而导致有意思的漏洞：sohu邮箱任意用户密码重置
漏洞危害：
该类漏洞一般被用户钓鱼欺诈，直接受害者为最终用户，也使得企业方遭受名誉损失。
漏洞修补：
短信发送文字内容应由服务器来定义，客户端应触碰不到。可以制定为键-值对，客户端只能选择键，然后在服务端匹配到键相应的值，再把值内容发送给用户手机。
三、手机验证过程中pin码可爆破
这类问题常出现在“密码找回”、“绑定手机”等功能处。正常工作流程一般为在页面提交手机号，然后短信平台会发送一个pin码给手机，再将pin码提交回给服务器，完成身份认证或绑定。
相关漏洞：
微信任意用户密码修改漏洞
该漏洞在爆破pin码阶段相当精彩，先赞一个。
大牛说了：
因此，这类漏洞成因：
1、pin码太弱，短位的纯数字组合，极易爆破；
2、高频由同一源发类似请求包，这么像CC攻击了，服务器总该做点反应吧。
漏洞危害：
需根据实际功能来定，大则如漏洞标题，任意用户密码修改。且即便看似难以利用，在大牛手上将会用神奇的构思，来证明漏洞的危害。近期，大牛就在做这样的事情。
漏洞修复：
使用长度和复杂性足够强壮的Pin码，防止被爆破。
四、短信平台自身的问题
先不论短信平台的应用层面的漏洞，我在测试过程中遇到的问题是：弱口令！直接登陆到短信平台。
漏洞成因：
维护人员的安全意识问题。
该短信平台只能通过IP访问，未绑定URL。我知晓其存在是由于客户提供了资产列表。站在客户的视角，外部用户难以发现短信平台入口，因此并不重视其安全性。但后续我发现通过Google hack也是能找到这个短信平台的。且有数字浏览器如此强大的存在，怎么可能产生互联网孤岛呢？
另外短信平台一般是由第三方提供，企业做为使用者难以保证其安全性，因此也可能存在常规WEB应用漏洞。
漏洞危害：
短信平台的操作权限一旦被恶意攻击者获取，上述提及的几类漏洞危害都有可能导致。
漏洞修复：
站在企业的角度，对于这样一个第三方系统，进行代码审计、渗透测试，成本投入都略显过大，因此对于短信平台，建议使用最直接、最暴力也是我认为最合适的方案——制定合适的ACL，限定仅内网特定用户访问，如确实有外网用户需要使用系统，也需采用VPN接入。
以上四类问题是我遇到和见到的，但是，由于我能力和视野有限，考虑得肯定是不够全面的，也请有经验的大牛给予指点。
必须您当前尚未登录。
必须（保密）
这是一个神奇的马甲
关注我们 分享每日精选文章
可以给我们打个分吗？用短信平台群发短信一般怎么收费的？每条短信的长度有字数限制吗？
全部答案（共3个回答）
.(0.050 元/条) ，有
短信群发平台是基于中国移动、联通、电信直接提供的短信端口与互联网连接实现与客户指定号码进行短信批量发送和自定义发送的，它分为软件单机版（带客户端）CS 结构和网...
你可以使用360手机助手，可以排掉一些广告短信的
素材管理只是编辑、 添加信息的，如果你要发布信息，只能去群发功能里点击发布信息，然后选择素材，把你在素材中心编辑好的信息选上就可以了
满意通系统的优点：1）双向发送2）用户可以接收到对方回复给自己的短信。3）送达确认4）提供短信发送的状态查询，确保业务的顺利开展。5）多方式接入6）通过互联网收...
你好，这个只要是只鞥呢手机都能群发短信的，只要300以上的都有的，个人推荐诺基亚920的(诚心为你解决问题希望能帮到您,点击一下【好评】吧亲，非常感谢）
答: 这样说吧
100个人里面90几个都是移动
连通实在是比不上移动的
答: 把图片加为附件就可以发送了，但要注意附件大小。新浪免费邮箱最大到2G 收发附件扩大到15M
收费邮箱（任你邮）到底可以发多大附件？
--------------...
答: 比较天才的问题。。。。。
答: 中关村的官网上有的，你可以去看看。如果我的回答对你有帮助，请点击“有用”哦，谢谢了。
铝属于两性金属，遇到酸性或碱性都会产生不同程度的腐蚀，尤其是铝合金铸件的孔隙较多，成分中还含有硅和几种重金属，其防腐蚀性能比其他铝合金更差，没有进行防护处理的铝铸件只要遇到稍带碱性或稍带酸性的水，甚至淋雨、水气、露水等就会受到腐蚀，产生白锈。
解决的办法。
铝铸件完成铸造后，在机械加工前，先要进行表面预处理，如预先对铸件进行喷砂，涂上一道底漆（如锌铬黄底漆），在此基础上再进行机械加工，以避免铸铝件在没有保护的情况下放久了被腐蚀。
销售额：指企业在销售商品、提供劳务及让渡资产使用权等日常活动中所形成的经济利益的总流入。税法上这一概念是不含任何税金的收入。销售额适用于制造业、商业等。
营业额会计上指的是营业收入，税法指的是应税营业收入。营业额属于含税收入，适用于饮食业、运输业、广告业、娱乐业、建筑安装业等 。
对于由非金属通过共价键形成的化合物,极性与否不是看键是不是极性的.而是要分析几个键之间的相互作用力是否可以抵消,像CO2是直线型的,结构式为:O=C=O,作用力等效作用于碳原子两边,按物理上的受力分析来看,不正好得以抵消吗?而SO2由于受力方向不同,就无法达到这样的效果.
平时做的练习里也常常会出现让你写一下分子构型或是电子式的,出现频率较高的有:NH3(三角锥型),CH4(正四面体),CO2(直线型),像过氧化物的有时也会让你写一下电子式.这些一般讲知识点的时候老师都会提及到的.
我个人认为解放后初期的土改，是农民分得了土地，而不是租土地。明确来说，当时的土改就是农民私有。我认为，当时可能是出于对“私有制”的忌讳，所以不敢直接声称是“私有”，而是用“农民的”来代替。
之所以说当时是私有，理由大致如下：
1.土改，准确来说是对生产资料的重新分配。当时参与土改的生产资料，不但包括土地，还包括牛马驴骡、农具等生产资料。而这些都是属于农民私有的。后来合作化运动之前，有些农民就曾经把牛马等牲口杀了吃肉，政府当时也只是批评他们的思想，并没有强力阻止。可见这些生产资料的确是属于私有的。
2.在一些地方的土改总结中，曾经对各阶层的土地分配量进行过汇总。在土改中，也并不是全部重新分配。例如富农和中农的土地都得到了一定保护。因此，可以推断，平均地权后的土地拥有量，仍然不是完全平等的。而如果是土地公有，那么富农中农的土地也应当予以重新分配。
3.合作化运动期间，鼓动农民用土地入股，参与合作组。如果土地不是农民私有的，那么“用土地入股”之说从何谈起？只有土地是农民私有的，才能够用“自愿”和“入股”等口号来鼓动农民。
4.当农业社会主义改造结束后，官方曾经明确认定是：把农民的土地所有制改造为集体所有制。我们知道，集体所有制才是真正具有公有制意义的，既然集体所有制是刚改造成立的，那么此前就不应该是公有制，否则也就没有这么大的政治意义了。所以，被改造之前，应当是私有制。
5.据说薄一波在《若干重大历史问题和回顾》中曾经提到：如果土改结束后，继续实行新民主主义，不急于把私有制改造为公有制，那么可能就没有后来的这么多错误。（原话记不清了，大体是这个意思）可见，当时党内高层，也是把农民所有制认定为私有制。
6.参照当时的工业情况。土改期间的工业依然是存在私有制的。直到合作化运动后，才逐渐兼并了私有企业。工业合作化期间，也曾经采用了“入股”“分红”“自愿”等手法，这和农业合作化方式是一致的。很难想像，如果农村当时真的消灭了私有制，那么这些私人企业家怎么还能够放心生产下去。所以我认为，当时的土改只能是建立了农民私有制，这样才能让私人企业家吃一个定心丸，不至于立马停工逃跑。
土地是否拥有私有权，很大程度上要看土地拥有者是否能够自由买卖土地。但是土改初期，一来，地主的财富基本被瓜分完毕；二来，地主即使留下一点财富，也决计不敢表露自己还藏有私钱；三来，刚分得土地的农民没有钱去购买土地。从而使得当时的地主无地可卖，无地敢买；农民不愿卖地，没钱买地。因此造成几乎没有土地买卖的可能性。既然没有土地买卖，其私有权也相对体现的并不明显。
不过从上述种种理由来看，虽然土地买卖并不明显，但并不能认为当时就不是私有制。土改结束后，农民的劳动积极性大大提高，当年的农业产量得到了大幅增长。在当时没有提出承包概念，没有明确承包年限的情况下，如果不是私有制，很难想像农民会有这么大的劳动积极性。要知道，三中全会后，也是明确了足够的承包年限后，农民才具有较高的积极性。如果建国初期的土改是公有制或集体所有制的，在没有承包年限的承诺下，我不太相信农民会有足够的劳动积极性。
经常生气会导致大脑的血液中增加毒素，该毒素会刺激毛囊，引起毛囊炎的发生，继而出现色斑的情况，影响女性的面容。女人生气会很容易伤子宫，和乳房，而这两个部位对于女性来说有很重要，所以女性平时心态要好。经常生气会导致机体内的内分泌出现异常，继而影响甲状腺的功能，出现甲亢。生气时面部出现红色，主要是因为血液向大脑涌去，减少心脏的血液供应，有心脏病的患者易出现心脏疾病的发生。情绪过于激动，会直接作用于心脏和血管，引起胃肠道缺血，出现胃溃疡的可能。女性情绪冲动时，呼吸会急促，甚至出现过度换气的现象，从而危害健康。
方法步骤：01肚子肥大，减肥无效。很多女性朋友对肚子上堆积的脂肪感到很苦恼，总想减掉那一圈肥肉，然后当肥肉没减掉，反而腹胀越来越严重时，就要当心是否是患了卵巢囊肿了。02用白芥子10，化湿祛痰的苡仁20，南星6，理气行滞、活血祛瘀的桃仁10，三棱10，赤芍12，消痰软坚、散结消肿的夏枯草20，海藻12。这个方子可以起到理气行滞、活血祛痰、软坚消肿的功效03附件及全子宫切除。一侧或双侧卵巢囊肿的近绝经期或绝经期妇女则可以选用这个方法，不过这个方法会严重影响内分泌，可能会引起内分泌失调。04选择手术治疗应到正规的医院请专业的医生进行诊治和制定手术方案。
方法步骤：01经期前后经常出现小腹坠痛的感觉，有时候在劳累，特别是做家务等身体比较累的时候就会感到腰痛和小腹坠痛，有时候在性交过后也会出现这种现象，都有可能是盆腔炎。02痛经或者月经不调，子宫内膜充血，月经量会过多，子宫内膜有不同程度的破坏会导致月经稀少或者闭经。03全身症状，很多患者没有很明显，有时候低热，感到疲倦。有的患者也可能出现失眠的症状。平时多注意观察，盆腔炎比较容易发生，经常出现这些症状就要开始注意了。04不孕的现象也可能是盆腔炎的症状引起的。05患上盆腔炎后一定要及时到正规的医院进行检查与治疗，因为只有正规的医院才会更加的安全。
方法步骤：01首先的话一定要保持心情的愉快，最好是不要生气，避免出现精神紧张、忧虑等这些情况的出现，因为心情是直接影响到我们的内分泌的平衡的，内分泌紊乱就很容易导致出现这样的情况。02还有就是一定要多注意卫生，因为排卵期的话会有相对比较多的白带，建议要勤换衣服，以防有病菌会感染到，从而导致各种的妇科疾病的产生，从而诱发这样的病的发生。03这个时期的饮食也要很注意，不能吃生冷的食物，不然很容易会导致出现腹痛的情况，要多吃新鲜的水果和蔬菜，这样的话可以预防出现便秘的现象，导致毒素不能正常的排除。04平时要多喝水，多注意休息，尽量的不要熬夜，多补充营养。
方法步骤：01卵巢囊肿一般是不会破坏所有正常的卵巢组织，所以多半不会引起月经的紊乱出现，但是有些分泌性的肿瘤会引起激素的分泌异常，导致女性月经紊乱，所以这个时候就需要注意了。02一般卵巢囊肿没有什么并发症的话，是不会引起疼痛的，但是若出现囊肿的蒂扭转时，这个时候女性就会出现剧烈的疼痛，引起出血、感染等情况、那么就需要及时救治了。03有些肿瘤比较大，它会压迫横隔，引起肺部的扩张受限，出现呼吸的不畅，或是一侧、两侧都出现胸腔积液的现象，并且一般伴有腹水的情况。04如果女性感觉自己的腰部比较紧，而自己的腹部却出现增大的情况，这个时候就需要考虑这种情况了。
油腻及高脂肪的食品　(危险--危险指数★★)我相信有许多家长会给狗狗吃鸡皮或是让它们吃盘里的残羹，但这些油腻及高脂肪的食品会导致胰腺炎、胰腺炎，对狗儿造成yi定的影响，所以不要因为丢掉剩饭 剩菜太浪费，而将狗狗当做馊水桶。其中以迷你贵妇狗、玩具贵妇狗、曲架、迷你史纳莎等的影响较严重，其徵状是呕吐，但很快便会愈来愈严重，须用抗生素作治liao哦。很多家长在养狗狗的过程中，与之建立了非常深厚的友情，所以希望有狗狗的家长yi定要花些精力记住这些对狗狗会产生致命危害的食物。还有一些生活中常见的，甚至我们常常吃的食物对狗狗的身体也是会产生影响
一米 拆除工程施工，必须建立安全技术档案，并应包括下列内容：拆除工程施工合同及安全管理协议书;拆除工程安全施工组织设计或安全专项施工方案;安全技术交底;脚shou架及安全防护设施检查验收记录;劳务用工合同及安全管理协议书;机械租赁合同及安全管理协议书。施工现场临时用dian必须按照国家现行标准《施工现场临时用dian安全技术规范》JGJ46的有关规定执行。
必须如实列出施工图中存在的不确定因素，并由编制人员与发包方协商确定暂定金额。同时，应在《招标投标法》规定的时间内作为对招标文件的补充送达全部投标人。招标文件应明确投标文件中任何需要签字、盖章的具体要求。招标文件应该明确对非中标单位投标文件的处理规则，如果非中标单位的投标文件不予归还投标人，则可视作招标人将全部或者部分使用非中标单位投标文件中的技术成果或技术方案，此时应征得非中标单位的书面同意，并给予1定的经济补偿。
在喜刷刷生活购看到的宝贝价格和在tao宝看到的价格不yi样1、VIP价格：卖家会设置部分喜刷刷生活购宝贝为VIP价格，只有是tao宝VIP用户才能看到折扣价价格；2、优惠券价格：卖家会设置使用优惠券才能享折后的价格，只有领取优惠券才能以喜刷刷生活购的价格购买到宝贝。购买是VIP或优惠券价格时成交列表显示的的都是原价。
现在很多搞半永久培训的 有的是个人工作室 还有稍微大一点的培训机构 还有培训学校 价格也是从几百到几千不等 看你想选择什么样的了 如果你讨厌唇线，如果你不喜欢用唇线，我们再教你一个防止花妆的办法：先在嘴唇上拍点蜜粉，再涂口红，然后抿开。重复以上过程一次，但是第二次就不用再抿开了。或者第yi次抿开后用吸油纸或者面巾纸轻轻盖上，将浮在表面的口红粘去，然后再涂抹一次，能有效避免口红脱妆哦。
正在加载...
Copyright &
Corporation, All Rights Reserved
确定举报此问题
举报原因(必选)：
广告或垃圾信息
激进时政或意识形态话题
不雅词句或人身攻击
侵犯他人隐私
其它违法和不良信息
报告，这不是个问题
报告原因(必选)：
这不是个问题
这个问题分类似乎错了
这个不是我熟悉的地区
相关问答：123456789101112131415终于知道为什么一条短信最多发70个字了
稿源：毒眼观察
很多人发送短信时，每当到了70个字之后短信就会变成两条，那为什么一条短信最多只有70个汉字呢？上世纪80年代无线传输的带宽不高，这就要求手机短信要言简意赅。短信发明人Hillebrand为遵从这一要求，经过试验后将160个字符作为短信长度上限，英文字母可发160个。因为英文字母采用7位ASCII编码，而汉字则采用8位UCS-2编码并占2个字节，所以160个字符按照7位ASCII编码来换算，即160X7=1120位；而汉字是按照8位的UCS-2编码，即8位一个字符，一个汉字占2个字符，这样1120位换算成汉字数就是=70。这就是为何一条短信可以发160个英文或70个汉字的原因了！
有好的文章希望站长之家帮助分享推广，猛戳这里
本网页浏览已超过3分钟，点击关闭或灰色背景，即可回到网页2018年最全的手机语音文字短信接码平台汇集 附客服QQ联系方式
大家可能也经常接触这些接码的平台 可能很多人不知道哪里有这些东西
其实这东西也是黑产业 可以说见不得光吧 大家可以注册东西撸活动偷偷用吧
好东西小编也不能私藏着 分享出来给大家吧 &大家充值的时候不要充的太多了 以免平台跑路
E云码 官方网址： 官方客服QQ： 小编点评：支持文字短信验证码 卡多
米粒码 官方网址： 官方客服QQ： 小编点评：实力平台项目0.1以下 卡多 稳定性好
爱信码 官方网址： 官方客服QQ： 小编点评：速度快 稳定号多
360码 官方网址： 官方客服QQ： 小编点评： 推荐平台 速度快 稳定号多
神话接码 官方网址： 官方客服QQ： 小编点评：项目价格低
Thewolf码 官方网址： 官方客服QQ： 小编点评：老平台 支持语音和短信验证码
海码 &官方网址： 官方客服QQ： 小编点评：老平台 卡多 价格低稳定性好 代注册账号
云享码 官方网址： 官方客服QQ： 小编点评：实力平台 稳定 价格低 支持国内外验证码
速码 官方网址： 官方客服QQ： 小编点评：实力平台 速度快 价格优惠 稳定
云码 官方网址： 官方客服QQ：1617643 小编点评：新平台 稳定性好 支持文字短信
开放云 官方网址： 官方客服QQ： 小编点评：项目手续费高 稳定性好
老头 官方网址： 官方客服QQ： 小编点评：新平台
接码 官方网址： 官方客服QQ： 小编点评：接码快 项目齐全
星辰码 官方网址： 官方客服QQ： 小编点评：支持语音 文字短信验证码
易码 官方网址： 官方客服QQ： 小编点评：项目价格高
基码 官方网址： 官方客服QQ： 小编点评：新平台 价格优惠 速度较快
共享云 官方网址： 官方客服QQ： 小编点评：支持语音 文字短信验证码
本文地址：
∷相关文章∷
QQ宠物每日100%抽取随机成长值 每日签到领1个月QQ粉钻
目前可以使用的第三方接受验证码平台 Y码接验证码平台
∷热门栏目∷
∷热门推荐∷
2教大家怎么概率注册9位数QQ号码方法
∷最近更新∷
3支付宝微信QQ三合一收款二维码搭建方
如果网站信息侵犯您的隐私，请来信通知!E-Mail:jishuqqwang@vip.qq.com}