메뉴
验证码/短信验证码/邮件验证码/滑块/人机验证绕过方法论。当登录、注册、找回密码、短信发送、邮箱验证、支付确认、MFA、评论提交等流程出现 captcha/code/otp/sms/email verify/geetest/TCaptcha 时使用。覆盖验证码重放、泄露、万能码、空值绕过、接收者未绑定、限频绕过、短信轰炸和时间窗口问题。
기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.
설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
직접 명령은 검토 Prompt를 거치지 않습니다. 실행하기 전에 소스를 확인하세요.
npx skills add https://github.com/haibo3434358/ScareAISec --skill captcha-bypass명령은 한 줄로 유지됩니다. 복사하기 전에 가로로 스크롤해 전체 내용을 확인하세요.
로컬 사본을 원하시나요? SkillsMP에서 현재 제공할 수 있는 파일을 다운로드하세요.
攻击面发现总控方法论。在爬取、抓包、JS 分析、API 文档分析、登录后探索、多角色对比阶段使用。用于把页面、接口、参数、Header、Cookie、WebSocket、GraphQL、上传、导入导出、支付、回调、对象存储等所有外部输入点系统性枚举出来，并把每个入口映射到后续漏洞 discovery skill。
认证绕过完整方法论 — 基于 300+ HackerOne/Bugcrowd 真实报告提炼。覆盖未授权访问、登录逻辑缺陷、MFA 绕过、Session 管理攻击、认证降级、默认/泄露凭据、注册逻辑漏洞、API 认证缺失、Response 篡改、Race Condition 认证绕过。任何出现 login/session/token/cookie/Authorization/MFA/2FA/验证码/注册验证/受保护 API 的场景都必须使用此 skill。
Session cookie 分析与伪造方法论。当发现 Web 应用使用 cookie 进行认证、需要判断 cookie 类型并选择伪造方法时使用。覆盖 unsigned base64 cookie 直接伪造、Flask 签名 cookie（flask-unsign 爆破密钥）、加密/二进制 cookie 的识别。本技能负责 cookie 类型判断和分流：如果判断为 JWT（三段式 eyJ 开头），应转至 jwt-attack-methodology；如果判断为加密 cookie 需要 Padding Oracle，应转至 crypto-web-attack
SOC 직업 분류 기준
SKILL.md 표시 중
| name | captcha-bypass |
| description | 验证码/短信验证码/邮件验证码/滑块/人机验证绕过方法论。当登录、注册、找回密码、短信发送、邮箱验证、支付确认、MFA、评论提交等流程出现 captcha/code/otp/sms/email verify/geetest/TCaptcha 时使用。覆盖验证码重放、泄露、万能码、空值绕过、接收者未绑定、限频绕过、短信轰炸和时间窗口问题。 |
| priority | 10 |
| vuln_types | ["验证码绕过","短信轰炸","OTP绕过","验证码重放","限频绕过"] |
| triggers | ["captcha","code","verify_code","otp","sms","email_code","geetest","TCaptcha","slider","验证码","短信验证码","邮箱验证码","人机验证","发送验证码"] |
| synonyms | ["captcha bypass","otp bypass","sms bombing","verification code bypass","rate limit bypass","验证码复用","万能验证码"] |
| metadata | {"tags":"captcha,验证码,短信验证码,图形验证码,滑动验证码,重放,bypass,sms,邮箱验证码,爆破,频率限制,轰炸","category":"discovery","authority":"reference"} |
| 场景 | 优先使用的 Agent 工具 |
|---|---|
| 捕获登录、注册、找回密码、MFA、支付确认、短信/邮件发送等验证码流程 | browser_* + proxy_get_traffic |
删除验证码字段、传空字符串、null、万能码，验证服务端是否强制校验 | proxy_replay / proxy_send_request |
| 重放已成功使用的验证码、短信码、邮件码或滑块 token，验证是否一次性失效 | proxy_replay |
| 用 A 手机/邮箱收到的验证码验证 B 手机/邮箱或 B 账号，检查接收者绑定 | proxy_send_request / proxy_diff_responses |
| 少量重复调用发送接口，测试同号限频、IP/session 限频和手机号格式变形绕过 | proxy_send_request / proxy_batch_send |
| 检查响应 body/header/Cookie/JS/localStorage 是否泄露验证码或验证 token | proxy_get_flow_detail + browser_evaluate + browser_get_cookies |
| 对比正确码、错误码、空值、复用、跨账号、流程跳步的业务结果 | proxy_diff_responses |
| 固化绕过、复用、泄露、未绑定、限频缺失或短信轰炸证据 | checklist_mark + note_add |
执行要点：验证码安全要验证“绑定、一次性、限频、服务端校验、泄露”五件事；短信轰炸只做少量验证，不能进行真实大规模发送。
看到登录、注册、找回密码、短信/邮件发送、MFA、支付确认、敏感操作确认中的 captcha、code、otp、verify_code、sms、email_code、滑块 token 时，必须进入本 skill。验证码安全不是“有没有验证码”，而是 是否服务端校验、是否绑定账号/手机号/session/场景、是否一次性、是否限频、是否泄露。
优先顺序：
| 特征 | 漏洞假设 | 立即测试 |
|---|---|---|
code/otp/captcha | 空值/万能码绕过 | 删除、空、null、0000、123456 |
| 发送验证码接口 | 短信轰炸/限频绕过 | 同号少量重复、格式变形、IP/session 对照 |
| 验证接口含手机号/邮箱 | 接收者未绑定 | A 收码验证 B 账号/手机号 |
响应返回 code/token | 验证码泄露 | 检查 body/header/cookie/localStorage |
| 滑块/三方验证 token | token 重放 | 复用 token、跨 session、过期时间 |
| MFA/支付确认验证码 | 流程跳步 | 未验证直接调业务 API |
验证码类型：
├─ 图形验证码（CAPTCHA 图片）
├─ 短信验证码（4-6 位数字）
├─ 邮件验证码
├─ 滑动/拼图验证（极验 geetest、腾讯 TCaptcha）
├─ 点击验证（点选文字/图标）
└─ 计算题验证（1+2=?）
1. 正常获取验证码，填写正确提交（抓包）
2. 重放同一请求 → 如果仍然成功 → 验证码可重用
3. 说明服务端没有在验证后使验证码失效
→ 可用同一验证码无限次提交（配合爆破密码等）
检查以下位置：
1. 发送验证码的接口响应 body — 直接返回验证码明文
2. 响应 header — 偶尔在 X-Verify-Code 等自定义头中
3. Cookie — 验证码 MD5/Base64 编码存在 Cookie 中
4. 前端 JS — 验证码生成逻辑在前端
→ proxy_get_flow_detail 查看完整响应
→ browser_evaluate 检查页面变量和 Cookie
尝试以下值：
- 空字符串: ""
- null: null
- 删除验证码参数（整个字段不传）
- 常见万能码: 0000, 1234, 6666, 8888, 9999
- -1, 000000
→ proxy_replay 逐个尝试
如果验证码只在前端校验：
1. 直接改包删除验证码字段 → proxy_replay
2. 或随便填一个值，看服务端是否再次校验
3. browser_evaluate 检查是否有前端 JS 校验逻辑
短信/邮件验证码场景：
1. 发送验证码到自己手机 A
2. 改包修改验证接口的手机号为目标手机 B
3. 用发到 A 的验证码去验证 B → 验证码与手机号未绑定
4 位数字: 0000-9999（10000 种）
6 位数字: 000000-999999（100 万种，通常不可行）
判断是否可爆破：
1. 验证码有效期多长？（通常 5-15 分钟）
2. 有无频率限制？（连续错误 N 次后锁定）
3. 有无 IP 限制？
如果 4 位 + 无限制 → 直接爆破
如果有频率限制 → 尝试 proxy_batch_send 并发绕过
发送验证码接口无频率限制：
1. 连续调用发送接口 → 目标手机收到大量短信
2. 改手机号遍历 → 批量轰炸
测试方法：
- 同一手机号连续请求 5 次发送接口
- 如果都返回成功 → 存在短信轰炸
- 注意：只需证明无频率限制即可，不要真的大量发送
1. 请求发送新验证码
2. 用旧验证码提交 → 如果仍有效 → 旧码未失效
3. 说明可以无限获取新码同时旧码仍可用
1. 不带验证码参数直接提交 → 服务端是否强制校验
2. 同一验证码重复提交多次 → 是否一次性
3. 验证码图片 URL 是否包含答案（如 /captcha?text=A3Bx）
4. 验证码图片是否有规律（固定几张轮换）
5. OCR 识别简单验证码（Agent 无此能力，记录为建议）
这类验证码通常较难绕过，但可以尝试：
1. 抓包分析验证参数，是否有固定值可重放
2. 验证结果 token 是否过期（获取后多久失效）
3. 验证是否绑定 session（换 session 是否需重新验证）
4. 删除验证相关参数，看业务接口是否仍可调用
验证码绕过需要证明：
1. 可以在不正确输入验证码的情况下完成操作
2. 或验证码可被重用/预测
3. 截图完整的绕过过程
4. vuln_verify + note_add(type="result")
confirmed_vuln：无需正确验证码即可完成受保护动作，或验证码可重放/泄露/跨账号使用/无限发送造成实际绕过。suspected_vuln：存在响应差异、限频弱、token 可复用迹象，但缺少最终业务动作成功证据。needs_review：缺少接收短信/邮件条件、三方验证码环境或测试账号。not_vuln：完成空值、复用、绑定、泄露、限频、格式变形、流程跳步检查后无异常。误报排除：
| # | 必测项 | 跳过的合法理由 |
|---|---|---|
| 1 | 空值绕过：把 captcha/code 字段去掉、传空字符串、传 null，看是否仍能继续 | 接口无验证码字段 |
| 2 | 复用绕过：用过的验证码再次提交，看是否仍接受（一次性验证码失效检查） | - |
| 3 | OCR 识别：图形验证码用 OCR 自动识别（如简单数字/英文） | 是滑块/三方验证 |
| 4 | 客户端绕过：检查响应 JS 是否泄露验证码（变量、cookie、localStorage） | - |
| 5 | 短信轰炸：连发同一手机号 10 次，看后端是否限频（应该只发 1-2 次后限制） | 接口非短信发送 |
| 6 | 手机号枚举：发送验证码接口，输入存在的手机号 vs 不存在的，响应是否不同 | - |
| 7 | 限频参数篡改：在 phone/mobile 字段中加空格、+86 前缀、unicode 不可见字符，看是否绕过限频（同一号码不同表达式） | - |
[验证码检查]
入口/流程：登录/注册/找回密码/MFA/支付/短信发送/邮箱验证/其他
验证码类型：图形/短信/邮件/滑块/三方token/未知
测试动作：空值/万能码/复用/接收者绑定/限频/泄露/流程跳步/token重放
业务结果：成功/失败/响应差异/未知
结论：confirmed_vuln | suspected_vuln | needs_review | not_vuln
安全边界：仅测试账号/少量发送/禁止轰炸/其他