思维导图
见 41WEB攻防
知识点：
- 100、验证码简单机制-验证码过于简单可爆破
- 101、验证码重复使用-验证码验证机制可绕过
- 102、验证码智能识别-验证码图形码被可识别
- 103、验证码接口调用-验证码触发接口可枚举
章节点：
Web层面：Web2.0 & Web3.0
语言安全：JS，ASP，PHP，NET，Java，Python等（包含框架类）
OWTOP10：注入，文件安全，XSS，RCE，XXE，CSRF，SSRF，反序列化，未授权访问等
业务逻辑：水平垂直越权，支付签约&购买充值，找回机制，数据并发，验证码&弱口令等
特殊漏洞：JWT，CRLF，CORS，重定向，JSONP回调，域名接管，DDOS，接口枚举等
关键技术：POP链构造，JS逆向调试，NET反编译，JAVA反编译，代码解密，数据解密等
Web3.0：未待完续筹备中….
验证码识别绕过等技术适用于：
口令存在爆破，接口枚举调用，任意用户注册等安全问题
1、验证码简单机制-验证码过于简单可爆破
2、验证码重复使用-验证码验证机制可绕过
3、验证码智能识别-验证码图形码被可识别
4、验证码接口调用-验证码触发接口可枚举
图片验证码-识别插件-登录爆破&接口枚举
自带白嫖版：https://github.com/smxiazi/NEW_xp_CAPTCHA
1、Burp加载插件
2、运行监听py文件
3、设置插件-验证码地址
4、数据包验证码填入参数
5、发包线程设置1后开始
接口收费版：https://github.com/smxiazi/xp_CAPTCHA
1、Burp加载插件
2、注册接口帐号充值
3、设置插件-填入帐号
4、数据包验证码填入参数
5、发包线程设置1后开始
图片验证码-重复使用-某APP短信接口滥用
删除验证码字段进行绕过或直接使用
Token sign 验证码等直接重复使用测试
##滑块验证码-宏命令-某Token&Sign&滑块案例
https://blog.csdn.net/shuryuu/article/details/104576559
同理也可以适用在Token，sign在页面代码中自动获取自动填入后绕过验证