本文摘自PHP中文网，作者V，侵删。
本文分享的是通过IP轮换结合暴力破解方法禁用Facebook新创建的未确认用户，此前在2014年Facebook曾针对该漏洞做过修复，但是由于修复策略不够完善，导致可以用IP轮换方法再次绕过这种防护，形成对任意新创建未确认Facebook用户的间接禁用攻击。
早前的账户创建确认漏洞
在2014年Facebook曾针对该漏洞做过修复。
当时的漏洞情况是这样的：如果你用个人邮箱注册一个Facebook账户，创建完成之后，Facebook会向你的邮箱发送一个5位数确认码邮件，但出于个人邮箱被恶意注册的安全原因考虑，Facebook还会在邮件末尾附加上一个“未曾注册过Facebook”的选项按钮，以便让那些个人邮箱被恶意注册的用户提交上报Facebook。
如下：
提交之后，会产生以下链接：
1 |
|
移动端对应的是：
1 |
|
漏洞原因在于，其中的 c 参数，也就是Facebook发送过来的一个5位数确认码，可以被攻击者暴力破解猜测到，因此可导致攻击者用此种方式去禁用任何未及时确认的Facebook新注册账户。该漏洞已于2014年10月被Facebook修复。
现在存在的问题
通过测试分析，作者发现该路径下设置了访问频率限制（Rate limit），针对5位数确认码做暴力猜解时会被Facebook阻拦掉。如下：
相关阅读 >>
更多相关阅读请进入《IP轮换》频道 >>
