任意用户注册漏洞

一个攻击者，任意不碰密码，用户不撞库，注册只用浏览器，漏洞三分钟就能把你的任意账号变成他的。这不是用户什么高深的零日漏洞，而是注册“任意用户注册”漏洞——它把互联网最基础的信任机制，直接撕开了一个口子。漏洞

我见过最典型的任意案例，发生在某家拥有上亿用户的用户视频平台。攻击者只需要在注册页面输入受害者的注册手机号，点击“获取验证码”，漏洞然后——用抓包工具拦截掉那条验证码短信的任意响应，把“验证码已发送”改成“验证码验证通过”。用户就这么简单，注册服务器信了，账号注册成功，绑定的是受害者的手机号，控制权却在攻击者手里。受害者毫不知情，直到某天发现自己账号里多了陌生人的观看记录，或者更糟——支付信息被改了。

这类漏洞的根源，往往不在注册流程本身，而在后端对“验证”这个动作的信任边界。开发人员默认“用户提交了验证码，就说明他收到了验证码”，但HTTP请求是可以伪造的。你提交一个不存在的验证码，服务器如果只检查“是否提交了”，而不检查“提交的对不对”，那整个验证环节就形同虚设。更隐蔽的是，有些系统把验证码校验放在前端JS里，后端根本不校验——这等于把保险箱的钥匙贴在箱子上。

另一个变种更让人头疼。某些平台允许“手机号+任意验证码”注册，只要验证码格式对（比如6位数字），服务器就去数据库里查这个手机号是否已注册。如果未注册，直接创建新账号；如果已注册，就跳到登录态——但这里有个逻辑漏洞：攻击者可以先用一个没注册过的手机号，配合任意6位数字，绕过验证，注册成功后再把手机号改成受害者的。改手机号时如果不再校验旧手机验证码，那受害者的账号就被无缝接管了。

你说，这不就是开发时少写了几行校验代码吗？对，但代价是灾难性的。去年某政务APP就栽在这上面——用户只需输入身份证号和任意手机号，就能注册并查询到对应的公积金信息。漏洞曝光后，官方紧急下线了注册功能，但已经泄露的数据，就像泼出去的水，收不回来了。

讽刺的是，这类漏洞的修复成本极低。服务端加一次验证码比对，或者对注册、改绑等敏感操作强制二次验证，半小时就能搞定。但太多团队把精力花在业务功能上，安全测试只做“功能是否跑通”，没人去问“如果验证码错了会怎样”。

我自己的习惯是，注册任何新平台，先用一个不常用的手机号测试。如果系统提示“验证码错误”却依然允许提交，或者返回的响应包里有“success:true”的字样，那这个平台基本可以拉黑了——连最基本的信任都建立不起来，你还指望它保护你的数据？

说白了，任意用户注册漏洞不是技术难题，是态度问题。开发者总以为黑客会用多复杂的攻击手法，结果人家只是按了几下F12，改了改请求参数，你的防线就崩了。安全不是靠堆砌功能堆出来的，而是靠对每一个看似不起眼的验证环节，都保持一种“这里可能被绕过”的偏执。做不到这点，你的用户就是别人案板上的肉，什么时候切，看攻击者心情。

(责任编辑：休闲)