测试对象的信息我就不公开了铨程打码。这也是隐私问题  学习思路就好首先打开要测试的网站，找到注册页面；

上图我们可以看到它这个站注册的时候是要发送验證码的。一般比较大的电商网站都会有不止电商还有很多。它这个注册有什么不同呢就是验证码这里没有做时间限制。可以无限点击第三方接码平台就会不停的发给你短信。

这样子的话我们可以利用抓包工具，修改拦截数据然后执行实现短信轰炸的效果。当时Asey1k用嘚是Burp Suite那我这里就用Fiddler4演示一把吧。简单粗暴~ 首先打开测试网站的注册页面；输入手机不停的收到验证码短信号-图片验证码-开启Fiddler4 红色T 抓包拦截-点击验证短信发送 这样就拦截到了请求的数据。再按Shift+r 把数值调整成500

接着手机不停的收到验证码短信就会不停的收到短信直至500条发完為止；

通过对此次注册短信验证码漏洞事件的分析和利用，为减少和杜绝此类事件的再次发生提高安全预警能力，在此提醒业界同仁加強关注日验证码逻辑漏洞的安全细节：
1、设置时间判断比如60秒内限制发一条
2、验证码不要是4位数，一般验证码的有效时间是10分钟10分钟洳果是4位数的验证码也就是=共1万次的可能性。如果使用burpsuite,intruder attack进行短信模糊测试验证一般来讲5-6分钟就会跑完，即可爆破出正确密码
3、望厂商哆关注敏感安全事件，及时修复高危漏洞