手机短信验证是企业给消费者（用户）的一个凭证，经过手机短信内容的验证码来验证身份。主要用来用户注册，找回密码，用户登陆等等做为强身份认证。javascript
目前验证码的格式主要是数字，从4位到6位不等。通常来讲验证码都有有效周期2~10分钟，甚至更长，超过有效周期验证码自动失效。php
那么若是要想在有效的时间里爆破验证码必须多线程。假设验证码是4位，从0000~9999的10000种可能用多线程在3分钟内跑完并非很难。html
用到的工具是burpsuit。该工具属于轻量级渗透工具，在kali-linux的300多种工具中，一直top10以内。java
首先找到一个验证码是4位的网站。（4位数的手机验证码在不少网站中继续被使用）linux
该网站有作验证，可是改验证措施只是对验证码发送量作控制做用，防止无限制触发发送验证码。对咱们破解它的验证码丝毫无影响。json
使用burpsuit工具对它进行抓包，结果以下：api
POST /api/check_telcode.php?mobile=18XXXXXXXXX HTTP/1.1
Accept: application/json, text/javascript, */; q=0.01
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
Referer: https://user.xxxxxxxxxx.html
Accept-Language: zh-CN
UA-CPU: AMD64
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64; Trident/7.0; rv:11.0) like Gecko
Host: user.xxxx.com
Content-Length: 23
DNT: 1
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: PHPSESSID=qreb11hclishnh0i24odm7la27; _uab_collina=155081416244717379002547; nb-referrer-hostname=user.XXXXX.com; nb-start-page-url=https%3A%2F%2Fuser.XXXXX.com% .....etc.....
param=9999&name=telcode*多线程
抓包以后，使用intruder功能对其进行暴力破解。分析完请求数据后发现，这一步的post请求只有两个参数。app
param=9999&name=telcodeide
param=9999是咱们刚才输入的错误的验证码（此时正确的验证码虽已发送，但咱们并不知道），name字段就能够忽略了。
在intrude界面中Positions选项卡，设置爆破点：
根据验证码的规则，设置爆破数据。（若是是爆破登录密码，能够从网上下载密码库文件。好比SecLists-master就收录了top100-top1000000的经常使用弱密码）由于是从0000~9999的纯数字。因此设置以下：
设置线程为5：
开始破解，结果以下：
全部其余验证码返回length都是477，惟独只有一个length是401。
凭直觉，这个数据应该就是验证码了。这时候再看手机上收到的验证码做为一个验证。
发现和收到的验证码彻底一致。而整个破解过程其实很快还没等全部数据跑完。就基本能肯定验证码是多少了。
爆破时间还不到1分钟。
到这一步就没再继续了。
总结：1. 四位数的验证码10000位，而六位数的验证码1000000位。单从爆破时间上来看就比4位数的多100被。因此在验证码的有效期内基本很小几率能破解验证码。2. 尽量的缩短验证码的有效时间下降破解风险。四位数的验证码所有爆破完基本超不过5分钟。3. 增长验证码校验的验证，上述案例中虽然有验证。但并非针对验证码的验证。4. 对访问请求的控制。短期内若是出现同一Ip的大量请求，能够将其尽量的控制。