记一次绕过验证码次数限制漏洞挖掘

漏洞发现 点击登陆，输入手机号，点发送验证码，弹出对话框要求输入图片验证码，我输入后用BurpSuit拦截请求继续重放，发现后台应该没有校验图片验证码，一样可以发送。 尝试重放，发送多次后，发现提示发送次数达到上限，换个手机号，还是这个提示。 开始我以为对cookie做了校验，切换浏览器后，依然不行，想到应该对ip地址做了判断，于是想到了XFF攻击。 漏洞利用 HTTP请求头会将IP地址放到X-F

>>阅读原文<<