公众号交易大家应该都知道，在很多时候我们可能都是使用咱们的手机号码来申请的微信号，当然了，也有不少的小伙伴是利用自己的qq号来申请的，如果你也对这方面的内容比较感兴趣的话，不妨跟上小编我的脚步一起来探讨和学习一下吧!但愿对你有所帮助!
为了确保微信帐号安全，若微信绑定了QQ号码，并且在非常用设备(常用手机)上登录，系统检测微信帐号使用异常，为了保护您的帐号安全，需要您验证微信好友头头像(15个头像中选出2个好友头像)，验证成功后即可成功登录。
注：
在24小时内有2次验证机会，如果没有通过身份验证，24小时内无法在新设备(手机)上登录，如果急需登录微信：
1、请使用原手机登录微信即可。
2、请使用原手机登录微信后开启设备保护(微信中的“我”=》我的帐号=》帐号保护=》开启)，开启成功后，在新的手机上使用手机号码+短信验证码即可登录微信。
3、24小时后再通过新手机设备登录。
利用漏洞中验证码绕过的小技巧!
1. 验证码不刷新
导致验证码不刷新的原因是：登录密码错误之后，session中的值没有更新，验证码不变。验证码不刷新通常有以下两种情况：无条件不刷新、有条件不刷新。
1.1无条件不刷新
无条件不刷新是指在某一时间段内，无论登录失败多少次，只要不刷新页面，就可以无限次的使用同一个验证码来对一个或多个用户帐号进行暴力猜解。
1.2有条件不刷新
有条件不刷新多见于如下情况：登录失败之后，系统会打开一个新页面或者弹出一个新的警告窗口，提示用户登录失败，点击确定后返回登录界面且验证码刷新。这种情况下，只要我们不关闭新窗口或弹窗，配合使用Burpsuite的intruder模块就可以进行暴力破解了。
2.验证码前端可获取
这种情况在早期的一些网站中比较常见，主要是因为程序员在写代码的时候安全意识不足导致的。验证码通常会被他们隐藏在网站的源码中或者高级一点的隐藏在请求的Cookie中，但这两种情况都可以被攻击者轻松绕过。
2.1验证码隐藏在源码中
验证这种情况很简单，我们只需要记住验证码，然后右键打开网站源代码，Ctrl+F搜索，输入刚才的验证码，如果可以成功匹配到，那恭喜你，接下来就可以写工具，提取源码中的验证码并将其放入每次请求的报文中，来进行帐号破解，这里推荐使用python。
2.2验证码隐藏在Cookie中
这种情况，我们可以在提交登录的时候抓包，然后分析一下包中的Cookie字段，看看其中有没有相匹配的验证码，或者是经过了一些简单加密后的验证码。
3. 验证码空值绕过
验证码空值绕过，是在日常的渗透测试中很容易被我们忽略的一点，实际应用中我们可以通过直接删除验证码参数或者Cookie中的一些值来绕过判断，进行暴力破解。
4. 验证码易识别
在平常的漏洞挖掘过程中，如果我们发现登录的验证码非常简单且易于识别，那我们就可以尝试使用自动化工具来进行登录破解了，如PKAV的HTTP Fuzzer。
5. 存在无验证码页面
经过测试，如果我们发现网站验证码自身并不存在缺陷，那我们接下来就可以尝试寻找一些其他的登录页面或接口来尝试暴力破解。
5.1隐藏的页面
这种页面通常是留给测试人员使用的，或者是一些忘记删除的老界面，利用的前提是该界面依旧可用，一般情况下，我们可以通过扫描器来发现这种页面。
5.2 微信公众号、APP登录页面
很多网站的web登录页面已经做的相当完善了，但是却在微信公众后的绑定接口或者是APP的登录界面上面栽了跟头，在渗透测试的过程中，一定不要忘了对公众号和APP的测试。
6. 其他绕过方法 6.1万能验证码
渗透测试的过程中，有时候会出现这种情况，系统存在一个万能验证码，如000000，只要输入万能验证码，就可以无视验证码进行暴力破解。
6.2验证码无效
这种情况下，无论我们输入什么数据，验证码都会判断通过，验证码形同虚设，这种情况我只遇到过一次。
6.3验证码数量有限
多见于计算类型的验证码，如1+8=?，这种类型的验证码严格意义上来说不能叫做验证码，多刷新几次验证码，我们可能会发现系统中的算数题目只有那么几道，这种情况下只要将验证码全部下载下来，生成一个md5库，然后将前端生成的验证码与本地文件进行对比即可。
学习完了上述的有关内容之后，我想不少的读者们已经非常清楚的了解到了微信要怎么去避开短信验证码了。同时也希望各位能够好好消化一下文章第二部分的内容哦!在文章的最后，非常感谢各位对星凤网网站的关注和支持!后续内容将更加精彩有效!
