login-captcha

第 20260916-201504 轮 · 看它的历史
[target] clone=h8 port=20098 base=http://localhost:20098
靶子 = http://localhost:20098

C1/C2 渐进式触发
  PASS  C1 第 1 次失败:普通错误,不要验证码
  PASS  C1 第 2 次失败:仍不要验证码
  PASS  C2 第 3 次:返回 CAPTCHA_REQUIRED
C9 XFF 绕过已封堵
  PASS  C9 换 XFF=9.9.9.9 仍要验证码
  PASS  C9 再换 XFF=1.2.3.4 仍要验证码
C3 正常放行
  PASS  C3-a 达阈值后即使密码正确也被拦(fail-closed 的可观测形态)
  PASS  C3-b captcha_id 是 32 位 hex
  PASS  C3-c 图片是真 png 字节(3435B)
  PASS  C3-d 正确验证码 + 正确密码 → 签发 token
  PASS  C7 登录成功后计数清零,再登无需验证码
C4/C5/C6 验证码本身
  PASS  C4-a 首次使用该 captcha_id 通过验证码这一关(卡在密码错)
  PASS  C4-b 同一 captcha_id 第二次使用被拒(消费即焚)
  PASS  C4-c HTTP 并发 4 路复用同一 captcha_id:任一轮都不得出现 >1 路过关(异常轮数 0)
  PASS  C5-a 不存在的 captcha_id 被拒
  PASS  C5-b 非法格式 captcha_id 被拒
  PASS  C6 错误答案被拒
C8 跨端 scope 隔离
  PASS  C8 DDM 领的验证码在 SucaiManager 侧被拒
C10 SucaiManager 节流(原先完全没有)
  PASS  C10-a 连续失败达上限后被锁定(登录失败次数过多，请 900 秒后重试)
  PASS  C10-b 锁定期内继续被拒
  PASS  C11 SucaiManager 正常账号登录不受影响

PASS=20 FAIL=0