一直沒有挖到過短信轟炸漏洞，這次終於遇到了：
獲取驗證碼，抓包
雖然這里存在有滑塊驗證，但是后端並沒有對滑塊進行驗證，故形同虛設。
多次重放發現還是存在頻次限制的，響應包顯示發送頻繁
使用XFF 進行IP偽造，無果
猜測是通過會話來判斷是否多次發送的，對session進行修改與刪除，無果
對電話號碼使用%00 %0a %a0 \n 86等符號進行繞過
發現可以在電話號碼前添加86來進行繞過，但是這樣僅僅增加了幾次短信數量，達不到對某一手機號大規模短信轟炸的效果
又進一步猜測后端會通過某些符號來進行多個電話號碼的分割，嘗試使用 點 加號 減號 分號 逗號等進行FUZZ繞過。
最終確定使用逗號可以進行繞過
而只需要不斷添加逗號，即可以對某一電話進行持續大規模的短信轟炸，實現了頻次檢查的繞過。
參考鏈接：