最近用很多「Get笔记」,但今天发现一个安全隐患,让我有点担心。
Get笔记可以在网页端用手机验证码登录,验证码只有4位,单次撞对验证码的概率高达万分之一。
假设一个高价值用户(例如@快刀青衣)的手机号码泄露,攻击者只要将手机号码发到一个500人的群,悬赏若干银两,让每人输入10次,那么就有 1-0.9999^5000 = 40%的机会登录成功,获取到私人笔记、录音。
4位验证码跟6位验证码的区别有多大?微信登录验证码是6位,用同样攻击方法,登录成功概率只有 1-0.999999^5000 = 0.005%。