验证码绕过之服务端相关问题

不安全验证码-on server常见问题

接着我们进入piakchu的访问页面点开on server

开启burpsuite抓包状态然后随便输入一个账号随便输入一个密码一个验证码会显示验证码错误或者不输入验证码会显示没有验证码。接着再将打开我们截获的数据包到reapter到后台如下

如果我们不输入验证码后台会显示我们需要输入验证码，或者我们输入错误的验证码，后台会显示验证码错误。下面我们来验证一下验证码是否再后台过期，首先先刷新pikachu页面获得一个有效的验证码，先不在前端验证，直接到后台填写验证码，我们会得到账号或密码错误，当我们再改一个账号再次提交，如果他还是显示账号或者密码错误那么就说明验证码没有过期，就可以持续使用继而暴力**，**验证码就用我之前实验过的有效验证码就可以。接下来我们就导入我们的字典，取消长度设置，开始攻击就可以。