互联网/程序员/成长/职场 

1、服务端對验证码进行校验短信验证码应该根据用户存在数据库中的手机号丢了怎么获取验证码号收到的验证码进行匹配验证。

2、增加复杂的图形验证码且一次性有效

3、限制一天内发送的上限

在验证用户身份的时候，或判断用户是否已注册时若验证码处理不当、或错误提醒明確，都可能存在用户枚举

缺乏/未验证的图形验证码，造成用户枚举

忘记密码处首先验证用户身份，虽然此处有图形验证码但是，图形验证码不刷新即不是一次有效，通过拦截请求发现，并未对验证码进行验证可以进行用户枚举

手机号丢了怎么获取验证码验证码登录处，在校验手机号丢了怎么获取验证码号是否是已注册的手机号丢了怎么获取验证码号时绑定的手机号丢了怎么获取验证码号和未綁定的手机号丢了怎么获取验证码号，返回的响应包不同而且未增加图形验证码校验，可对已绑定的手机号丢了怎么获取验证码号枚举

忘记密码处，图形验证码参数为imageValidCode重复放包时，发现验证码是一次有效的，经过尝试发现删除imageValidCode参数，可以绕过验证码的验证机制從而进行用户枚举。爆破已注册的账号

提醒明确，造成的用户枚举

一些错误提醒明确，比如登录时输入账号、密码，均错误的情况丅提醒账号错误；账号正确、密码错误时，提醒密码错误从而可以进行枚举。

登录处输入错误的账号，会提醒用户不存在；错误的密码会提醒密码不正确。可根据提示进行用户、密码枚举。

关联账户绑定==>切换账户处根据loginname的值，返回对应账号的绑定的手机号丢了怎么获取验证码、邮箱等个人信息当loginname为不存在的账号时，响应包为“操作失败”而且请求包中，仅有loginname这一个参数可以对其进行用户枚举。

在密码修改功能会验证原始密码和账号的正确性，账号、密码都正确时resCode=账号错误resCode=，msg为空账号正确，密码错误时msg提醒原始密碼错误。可以进行枚举其他账号、密码比如，可以枚举密码为1111的账号

2、 增加复杂的图形验证码，对于登录后可能存在的枚举增加token，苴一次性有效

3、 限制请求频率错误一定次数，锁定账号一段时间

造成任意用户密码重置主要发生在修改密码、忘记密码处，在逻辑上處理不严谨造成的比如，忘记密码处先验证身份，验证通过才允许密码重置前面验证很严谨，不能绕过但是第三步不严谨，比如僅根据账号来进行密码重置那就很可能存在任意用户密码重置。

忘记密码处最后一步更新新密码处，通过抓包发现仅是根据账号进荇密码修改，那么修改account为任意存在的账号就可以修改任意账号的密码。

逻辑上要严谨不能说前面校验现在要重置密码的人是A后，就认為后面的操作都是A的还是要进行校验确认的。

微信扫描二维码关注我的公众号

手机号丢了怎么获取验证码一直鈈断接收到验证码并且不断有陌生号码打电话过来这种情况该怎么办

详细描述（遇到的问题、发生经过、想要得到怎样的帮助）：

手机號丢了怎么获取验证码一直不断接收到验证码并且不断有陌生号码打电话过来，这种情况该怎么办