博主從去年開始涉獵SRC挖洞，現在將分享一下我挖的漏洞以及漏洞思路，漏洞質量不是很高，高手請繞過。
一、 短信轟炸
目前大多數平臺的短信驗證碼均做了頻率限制、次數限制等，但是由於程序員在開發時候限制不嚴格可能就會出現繞過頻率限制的短信驗證碼轟炸漏洞，以下是我在漏洞挖掘過程中發現的主要的繞過方法。
0x00 XFF注入
某個平臺的手機驗證碼處，若發送次數太多，不管換成什麼手機號，依然提示要輸入圖形驗證碼，於是我考慮到是否對客戶端IP做了判斷，於是可以在請求頭構造X-Forwarded-For參數，設置假的IP以達到欺騙服務端的目的，從而繞過限制，達到短信轟炸目的。
0x01 手機號繞過
有些短信接口是支持多個號碼批量發送的，一般規則是以逗號隔開，但是如果後端未對手機號做嚴格判斷的話，可以繞過手機號發送頻率限制。
二、信息泄露
0x00 手機號信息泄露
註冊和登錄處容易出現手機號信息泄露漏洞，有些平臺在登錄和註冊處會顯示提示手機號不存在或手機號已存在，這樣就泄露了平臺的已註冊手機號。
