【联通支付注册/登录安全分析报告】

联通支付注册/登录安全分析报告
前言
由于网站注册入口容易被黑客攻击，存在如下安全问题：

1. 暴力破解密码，造成用户信息泄露
2. 短信盗刷的安全问题，影响业务及导致用户投诉
3. 带来经济损失，尤其是后付费客户，风险巨大，造成亏损无底洞
   

所以大部分网站及App 都采取图形验证码或滑动验证码等交互解决方案， 但在机器学习能力提高的当下，连百度这样的大厂都遭受攻击导致点名批评， 图形验证及交互验证方式的安全性到底如何？ 请看具体分析

一、 联通支付PC 注册入口

简介： 联通支付也叫“沃支付”，是中国联通面向客户提供的一项综合性移动支付服务，开立手机支付账户并预存资金后，可通过互联网、WAP等通信手段，使用支付账户完成互联网购物、话费缴纳、水电燃气账单支付、电影票购买。

分为企业会员和个人会员两种

个人会员出现BUG，不能正常注册

二、 安全性分析报告：

联通支付研发的滑动验证码，容易被模拟器绕过甚至逆向后暴力攻击，滑动拼图识别率在 95% 以上。

三、 测试方法：

  前端界面分析，这是联通自己研发的滑动验证码，网上没有现成的教学视频，但形式都差不多，难点:

1. 前端利用 canvs 将后台返回的背景大图和滑动小图融合在一起，图片取出比较特殊，得用JS 注入方式获取，
2. 防模拟器鼠标，物理鼠标和逻辑鼠标定位不一致判断措施，解决思路为让JS 这部分代码失效或这采用 物理定位鼠标的部分，目前采用的是物理鼠标的方式。
   这次还是采用模拟器的方式，关键点主要模拟器交互、距离识别和轨道算法3部分
   
   按 F12进行分析，利用 canvs 图片合并，用传统的方法获取到的是混合在一起的图， 必须想办法注入 JS 获取到原始的图片

1. 模拟器交互部分
   

2. 距离识别

3. 轨道生成及移动算法

采用物理鼠标定位方式

【视频演示】

联通支付-自研-视频演示

文中涉及的代码在此【下载】

四丶结语

联通支付作为支付行业的翘楚，依托联通老大哥的资源，技术实力雄厚， 人才济济，和联通是独立运营的， 有别于联通 还在用的老一代的图形验证码，联通支付在吸取了同行滑动验证码的经验后，自己研发了独特风格的那个验证码， 从逆向代码来看， 不仅借鉴了同行的技术原理，还在防抓取上下了功夫，

1. 前端利用 canvs 将后台返回的背景大图和滑动小图融合在一起，图片取出比较特殊，得用JS 注入方式获取，
2. 防模拟器鼠标，物理鼠标和逻辑鼠标定位不一致判断措施，解决思路为让JS 这部分代码失效或这采用 物理定位鼠标的部分，目前采用的是物理鼠标的方式。
   从这两点看，的确让初级黑客止步，但本质上， 前端技术都是暴露在浏览器，不管是JS 注入还是后端代理模式，都会让这些小技巧无效。

很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。
比如：“ 需求这么赶，当然是先实现功能啊 ”，“ 业务量很小啦，系统就这么点人用，不怕的 ” ， “ 我们怎么会被盯上呢，不可能的 ”等等。

有一些理由虽然有道理，但是该来的总是会来的。前期欠下来的债，总是要还的。越早还，问题就越小，损失就越低。

所以大家在安全方面还是要重视。（血淋淋的栗子！）#安全短信#

戳这里→康康你手机号在过多少网站注册过！！！

谷歌图形验证码在AI 面前已经形同虚设，所以谷歌宣布退出验证码服务， 那么当所有的图形验证码都被破解时，大家又该如何做好防御呢？

>>相关阅读
《腾讯防水墙滑动拼图验证码》
《百度旋转图片验证码》
《网易易盾滑动拼图验证码》
《顶象区域面积点选验证码》
《顶象滑动拼图验证码》
《极验滑动拼图验证码》
《使用深度学习来破解 captcha 验证码》
《验证码终结者-基于CNN+BLSTM+CTC的训练部署套件》