短信压力平台背后的原理

短信压力或电话压力已经存在很长时间了。

什么是短信压力？

短信压力是一种攻击，通过它人们使用发送消息，如OTP，随机文本，并呼吁没有任何限制的任何人。人们通常使用这种攻击来恶作剧或打扰他们已知的人。
攻击者通常使用具有易受攻击的API（没有速率限制）的某种脚本或应用程序来执行这些攻击。现在有数百个网站/应用程序的短信轰炸。
一旦实施攻击，受害者将在一分钟内收到数百条信息，具体取决于压力机的速度。

什么是SMS炸弹？

通常，使用易受速率限制攻击（即，不检查发送的OTP的数量）的OTP API来构建这些脚本或应用。

故事

最近，我在多个qq交流群上看到了许多关于短信压力应用程序的帖子。
所以我想为什么不调查一下呢？

在查看评论后，我找到了下载应用程序的链接。

该应用程序被称为Flash Bomber。

在我自己的设备上运行任何东西之前，为什么不在模拟器上检查一下呢？

应用程序不允许Wifi连接。

反转应用程序

通过查看，我们可以获得检查的类和方法

Lit804 = new FString("com.google.appinventor.components.runtime.WiFiAdmin");

用frida覆盖

同样，它有多个检查，如SSL Pinning，Root Check，ADB check，IsRoSecureRoKernelQemu，Emulator和Sniffer Check-

所以，我在frida中使用了相同的方法来绕过上述检查。

现在我们可以通过burp检查应用程序请求。

在启动应用程序时，它使用用户提供的电子邮件ID注册设备。

因此，它将设备信息与电子邮件沿着保存到Airtable数据库。

现在启动短信压力。

为了启动短信压力，它要求关键，这是已经披露的群体。关键- flashop

当有人启动短信压力时，它会将号码与电子邮件一起保存。

如果应用程序在每次运行时都保存你的详细信息，那么匿名消息轰炸的意义何在？

不管怎样，我们继续-

有趣的是，应用程序正在获取保存的详细信息，而Airtable API本身在获取数据方面没有任何限制。

所以可以从数据库中获取所有细节。

Auth Bearer令牌在应用程序本身中。

此外，人们可以很容易地获得用于SMS API的API，因为它保存在应用程序本身。

相关文章：

在线短信测压-可能资源网 (kngzs.cn)

最强短信HZ云呼系统（在线免费测试使用）-可能资源网 (kngzs.cn)

2023最新手机短信压力测试-可能资源网 (kngzs.cn)